検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

WordPress プラグイン Ultra Addons for Contact Form 7 の脆弱性 CVE-2026-102435（CVSS 9.8）: 3.5.54 以前、PDF 生成機能が有効だと認証なしで任意ファイルを削除できる

World Security 編集部
目次（7）

CVE-2026-102435

NVD は 2026-11-02 に、WordPress プラグイン「Ultra Addons for Contact Form 7」の脆弱性 CVE-2026-102435 を登録しました。3.5.54 までのすべての版が対象で、同梱の PDF Generator アドオンが有効な環境では、認証なしの攻撃者がサーバー上の任意のファイルを削除できます。CVSS v3.1 は 9.8（CRITICAL）です。

概要

項目内容
CVECVE-2026-102435
対象Ultra Addons for Contact Form 7 の 3.5.54 までのすべての版
問題_getObjAttr 関数のファイルパス検証が不十分で、任意ファイルの削除につながる
条件PDF Generator アドオンが有効で、Contact Form 7 のフォームが PDF 生成用に設定されている場合に限る
CWECWE-502（信頼できないデータのデシリアライズ）
CVSS v3.19.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。Wordfence が付与（種別 Primary）
NVD 公開日2026-11-02

影響範囲

  • NVD の記載では、PDF 生成機能が有効なときに限って悪用できます。PDF Generator アドオンを使っていない環境は、この記載の範囲では影響を受けません。
  • NVD は、wp-config.php のような重要なファイルが削除されると、リモートコード実行に容易につながり得ると説明しています。WordPress は設定ファイルが無いとセットアップ状態に戻るため、サイト全体の乗っ取りに発展する可能性があります。
  • 悪用には、Contact Form 7 が導入され、PDF 生成用のフォームが設定されていることが必要です。
  • 攻撃の具体的な手順は本記事では扱いません。

修正

NVD は 3.5.54 までを影響範囲としており、これより新しい版で修正されたと読めます。ただし、修正版の番号と修正内容は、ベンダーやプラグイン配布元の情報を確認できていないため断定しません。NVD の参照には、プラグインのソース変更履歴と Wordfence の脆弱性ページが挙がっています。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Deferred（NVD 自身の分析は未実施）
CVSS v3.19.8（CRITICAL）。CWE-502
EPSS未算定（FIRST の API に該当データなし）
KEV掲載なし（CISA のカタログを確認）
出典NVD、FIRST（EPSS）、CISA（KEV）

severity を critical とした提案の理由

認証不要（PR:N）で CVSS が 9.8 のため、過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に従い critical を提案します。ただし、悪用には PDF Generator アドオンの有効化とフォーム設定が必要で、すべての導入環境が影響を受けるわけではありません。

対応として考えられること

  1. Ultra Addons for Contact Form 7 を使っている場合は、版を確認し、3.5.54 より新しい版が出ていれば更新します。
  2. PDF Generator アドオンが不要なら無効化します。有効なままの場合は、PDF 生成用のフォームがあるかを確認します。
  3. 更新までの間は、WAF などで該当プラグインへの不審なリクエストを制限し、wp-config.php など重要ファイルの有無と更新時刻を点検します。
  4. 定期的にバックアップを取り、削除されたファイルを復元できる状態にしておきます。

未確認の点

  • 実際の攻撃での悪用は確認していません。
  • 修正版の番号と修正内容は確認できていません。
  • 利用サイトの数は確認できていません。
  • NVD の分析は未実施です。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事