---
title: "WordPress プラグイン Ultra Addons for Contact Form 7 の脆弱性 CVE-2026-102435（CVSS 9.8）: 3.5.54 以前、PDF 生成機能が有効だと認証なしで任意ファイルを削除できる"
url: https://n-t-p.io/worldsecurity/articles/ultra-addons-cf7-cve-2026-102435-unauth-arbitrary-file-deletion
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 緊急
cve: CVE-2026-102435
---

# WordPress プラグイン Ultra Addons for Contact Form 7 の脆弱性 CVE-2026-102435（CVSS 9.8）: 3.5.54 以前、PDF 生成機能が有効だと認証なしで任意ファイルを削除できる

> **TL;DR:** WordPress プラグイン Ultra Addons for Contact Form 7 の 3.5.54 までが対象（CVE-2026-102435）。PDF Generator アドオンが有効だと、認証なしで任意ファイルを削除でき、wp-config.php の削除などからコード実行に至り得る。CVSS v3.1 は 9.8。KEV なし、EPSS は未算定。修正版は未確認。

**要点**
- 3.5.54 までのすべての版が対象。PDF Generator アドオンが有効で、フォームが PDF 生成用に設定されている場合に、認証なしで任意ファイルを削除できる（CVE-2026-102435、CWE-502）
- CVSS v3.1 は 9.8（PR:N）。wp-config.php などの削除からリモートコード実行に至り得ると NVD は記載
- NVD は Deferred、KEV 掲載なし、EPSS は未算定
- 悪用の有無、修正版の番号は未確認

NVD は 2026-11-02 に、WordPress プラグイン「Ultra Addons for Contact Form 7」の脆弱性 CVE-2026-102435 を登録しました。3.5.54 までのすべての版が対象で、同梱の PDF Generator アドオンが有効な環境では、認証なしの攻撃者がサーバー上の任意のファイルを削除できます。CVSS v3.1 は 9.8（CRITICAL）です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-102435 |
| 対象 | Ultra Addons for Contact Form 7 の 3.5.54 までのすべての版 |
| 問題 | `_getObjAttr` 関数のファイルパス検証が不十分で、任意ファイルの削除につながる |
| 条件 | PDF Generator アドオンが有効で、Contact Form 7 のフォームが PDF 生成用に設定されている場合に限る |
| CWE | CWE-502（信頼できないデータのデシリアライズ） |
| CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。Wordfence が付与（種別 Primary） |
| NVD 公開日 | 2026-11-02 |

## 影響範囲

- NVD の記載では、PDF 生成機能が有効なときに限って悪用できます。PDF Generator アドオンを使っていない環境は、この記載の範囲では影響を受けません。
- NVD は、`wp-config.php` のような重要なファイルが削除されると、リモートコード実行に容易につながり得ると説明しています。WordPress は設定ファイルが無いとセットアップ状態に戻るため、サイト全体の乗っ取りに発展する可能性があります。
- 悪用には、Contact Form 7 が導入され、PDF 生成用のフォームが設定されていることが必要です。
- 攻撃の具体的な手順は本記事では扱いません。

## 修正

NVD は 3.5.54 までを影響範囲としており、これより新しい版で修正されたと読めます。ただし、修正版の番号と修正内容は、ベンダーやプラグイン配布元の情報を確認できていないため断定しません。NVD の参照には、プラグインのソース変更履歴と Wordfence の脆弱性ページが挙がっています。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred（NVD 自身の分析は未実施） |
| CVSS v3.1 | 9.8（CRITICAL）。CWE-502 |
| EPSS | 未算定（FIRST の API に該当データなし） |
| KEV | 掲載なし（CISA のカタログを確認） |
| 出典 | NVD、FIRST（EPSS）、CISA（KEV） |

## severity を critical とした提案の理由

認証不要（PR:N）で CVSS が 9.8 のため、過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に従い critical を提案します。ただし、悪用には PDF Generator アドオンの有効化とフォーム設定が必要で、すべての導入環境が影響を受けるわけではありません。

## 対応として考えられること

1. Ultra Addons for Contact Form 7 を使っている場合は、版を確認し、3.5.54 より新しい版が出ていれば更新します。
2. PDF Generator アドオンが不要なら無効化します。有効なままの場合は、PDF 生成用のフォームがあるかを確認します。
3. 更新までの間は、WAF などで該当プラグインへの不審なリクエストを制限し、`wp-config.php` など重要ファイルの有無と更新時刻を点検します。
4. 定期的にバックアップを取り、削除されたファイルを復元できる状態にしておきます。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 修正版の番号と修正内容は確認できていません。
- 利用サイトの数は確認できていません。
- NVD の分析は未実施です。


## 出典
- [NVD CVE-2026-102435](https://nvd.nist.gov/vuln/detail/CVE-2026-102435) — NIST NVD
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-102435) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/ultra-addons-cf7-cve-2026-102435-unauth-arbitrary-file-deletion