検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

WordPress プラグイン ACF Extended PRO の CVE-2026-120534: render_field 経由で認証なしに任意の WordPress 関数を呼び出せる、CVSS 9.8

World Security 編集部
目次（6）

CVE-2026-120534

WordPress プラグイン「Advanced Custom Fields: Extended PRO」（ACF Extended PRO）の 0.9.2.6 以前に、フォーム設定値の検証不備による限定的なコードインジェクション（CVE-2026-120534）が見つかりました。認証なしの攻撃者が、制御した引数で任意の WordPress 関数を呼び出せる可能性があります。CVSS v3.1 は 9.8（Wordfence による。AV:N/AC:L/PR:N/UI:N）です。ただし、悪用には次のいずれかの条件が必要と説明されています。

概要

項目内容
CVECVE-2026-120534
製品WordPress プラグイン Advanced Custom Fields: Extended PRO（0.9.2.6 以前）
問題render_field 関数が、フォーム設定のパラメーターを十分に検証しないままフィールド設定へ統合し、call_user_func_array に渡す
攻撃条件ネットワーク経由。認証・ユーザー操作は不要。ただし下記の条件のいずれかが必要
結果制御した引数で任意の WordPress 関数を呼び出せる（限定的なコードインジェクション）
悪用状況CISA KEV への掲載なし。悪用の報告は確認できていない

悪用に必要な条件

  • 方法 1: 管理者が、対象フォームで既定では無効の「shortcode_preview」設定を有効にしている。
  • 方法 2: サーバー環境に OpenSSL の関数が無く、ACF Pro の acf_decrypt が検証なしの base64 デコードに切り替わる。

どちらにも当てはまらない環境では、この経路での悪用は難しいと考えられます。ただし、自サイトの設定を確認するまでは対象外と断定できません。

影響範囲

  • ACF Extended PRO 0.9.2.6 以前（NVD の記載）。
  • 開発元の更新履歴には、2026-08-27 公開の 0.9.2.7 が掲載されています。ただし、この版が本件を修正したかどうかは、更新履歴の記載からは確認できていません。

対策

  • ACF Extended PRO を、開発元が公開する最新版へ更新する。更新履歴で 0.9.2.7 以降であることを確認する。
  • shortcode_preview を有効にしているフォームがないかを確認し、必要がなければ無効にする。
  • サーバーで PHP の OpenSSL 拡張が有効かを確認する。
  • 公開フォームのアクセスログに、不審なパラメーターを含む送信がないかを点検する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Deferred（2026-11-03 公開、NVD 自身の評価は未実施）
CVSS v3.19.8（Wordfence による。AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）
CWECWE-434（Wordfence による分類。説明文はコードインジェクションで、分類と説明が一致しない）
EPSS未算出（FIRST に該当データなし、2026-11-03 時点）
KEV掲載なし
出典NVD、Wordfence、ACF Extended 更新履歴、FIRST、CISA

未確認の点

  • 修正版の版番号。0.9.2.7 が修正版かどうか。
  • 実際の悪用の有無、攻撃の規模。
  • 影響を受けるサイトの数。
  • CWE-434 の分類が、説明文の内容とどう対応するか。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事