概要

WordPressの人気フォーム作成プラグイン「Everest Forms」に、CVSSスコア9.8(緊急)と評価される重大な脆弱性(CVE-2026-19598)が発見された。認証を必要とせずに任意のファイルをアップロードできる不備で、攻撃者はPHPで書かれたウェブシェルをサーバー上に設置し、コマンド実行やファイル閲覧、データベースの窃取、サイトの改ざんなど、サイトを完全に乗っ取ることが可能になる。Everest Formsは10万件以上のWordPressサイトで利用されており、影響範囲は広い。この脆弱性はセキュリティ企業Wordfenceによって報告された。

技術的な詳細

脆弱性の原因は、プラグイン内の「EVF_Form_Fields_Upload」クラスにおけるファイルアップロード処理ロジックにある。ファイルの種類やアップロード先パスに対する検証が不十分なため、本来許可されるべきでないPHPスクリプトなどのファイルもアップロードできてしまう。この欠陥を突かれると、攻撃者は認証なしでサーバー上にウェブシェルを設置でき、そこを足がかりにサイトの完全な制御権を奪うことができる。影響を受けるのはバージョン3.0.9.5より前のすべてのEverest Formsで、開発元はすでに3.0.9.5でこの問題を修正している。

推奨される対策

サイト管理者は直ちにEverest Formsをバージョン3.0.9.5以降にアップデートすることが強く推奨される。即座のアップデートが難しい場合は、特に公開フォームでファイルアップロード機能を利用しているサイトを中心に、プラグイン自体を一時的に無効化する対応も有効とされる。加えて、すでに侵害を受けた可能性がある場合に備え、管理者アカウントの一覧、PHPファイルの改変有無、サーバーログを確認し、不審な点があれば全ての認証情報をリセットすることが呼びかけられている。認証不要で悪用可能かつCVSS 9.8という深刻度の高さから、対象プラグインを利用しているサイトでは優先度の高い対応が求められる。