---
title: "WordPress プラグイン ACF Extended PRO の CVE-2026-120534: render_field 経由で認証なしに任意の WordPress 関数を呼び出せる、CVSS 9.8"
url: https://n-t-p.io/worldsecurity/articles/wordpress-acf-extended-pro-render-field-code-injection-cve-2026-120534
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-120534
---

# WordPress プラグイン ACF Extended PRO の CVE-2026-120534: render_field 経由で認証なしに任意の WordPress 関数を呼び出せる、CVSS 9.8

> **TL;DR:** WordPress プラグイン ACF Extended PRO 0.9.2.6 以前で、フォーム設定値の検証不備により、認証なしの攻撃者が任意の WordPress 関数を呼び出せる可能性がある（CVE-2026-120534、CVSS 9.8）。悪用には shortcode_preview の有効化、または OpenSSL 関数の欠如が必要。更新と設定の確認を行う。

**要点**
- render_field が、検証していないフォーム設定値を call_user_func_array に渡す。認証・ユーザー操作は不要で、制御した引数で任意の WordPress 関数を呼び出せる可能性
- CVSS v3.1 9.8（Wordfence 評価、AV:N/PR:N）。認証不要かつ 9 以上のため critical。ただし悪用には非既定の設定または OpenSSL 関数の欠如が必要
- 0.9.2.6 以前が対象。KEV 掲載なし、EPSS は未算出、NVD は Deferred
- 修正版の番号は未確認（更新履歴には 0.9.2.7 があるが、本件の修正かは不明）

WordPress プラグイン「Advanced Custom Fields: Extended PRO」（ACF Extended PRO）の 0.9.2.6 以前に、フォーム設定値の検証不備による限定的なコードインジェクション（CVE-2026-120534）が見つかりました。認証なしの攻撃者が、制御した引数で任意の WordPress 関数を呼び出せる可能性があります。CVSS v3.1 は 9.8（Wordfence による。AV:N/AC:L/PR:N/UI:N）です。ただし、悪用には次のいずれかの条件が必要と説明されています。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-120534 |
| 製品 | WordPress プラグイン Advanced Custom Fields: Extended PRO（0.9.2.6 以前） |
| 問題 | render_field 関数が、フォーム設定のパラメーターを十分に検証しないままフィールド設定へ統合し、call_user_func_array に渡す |
| 攻撃条件 | ネットワーク経由。認証・ユーザー操作は不要。ただし下記の条件のいずれかが必要 |
| 結果 | 制御した引数で任意の WordPress 関数を呼び出せる（限定的なコードインジェクション） |
| 悪用状況 | CISA KEV への掲載なし。悪用の報告は確認できていない |

## 悪用に必要な条件

- 方法 1: 管理者が、対象フォームで既定では無効の「shortcode_preview」設定を有効にしている。
- 方法 2: サーバー環境に OpenSSL の関数が無く、ACF Pro の acf_decrypt が検証なしの base64 デコードに切り替わる。

どちらにも当てはまらない環境では、この経路での悪用は難しいと考えられます。ただし、自サイトの設定を確認するまでは対象外と断定できません。

## 影響範囲

- ACF Extended PRO 0.9.2.6 以前（NVD の記載）。
- 開発元の更新履歴には、2026-08-27 公開の 0.9.2.7 が掲載されています。ただし、この版が本件を修正したかどうかは、更新履歴の記載からは確認できていません。

## 対策

- ACF Extended PRO を、開発元が公開する最新版へ更新する。更新履歴で 0.9.2.7 以降であることを確認する。
- shortcode_preview を有効にしているフォームがないかを確認し、必要がなければ無効にする。
- サーバーで PHP の OpenSSL 拡張が有効かを確認する。
- 公開フォームのアクセスログに、不審なパラメーターを含む送信がないかを点検する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD の状態 | Deferred（2026-11-03 公開、NVD 自身の評価は未実施） |
| CVSS v3.1 | 9.8（Wordfence による。AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H） |
| CWE | CWE-434（Wordfence による分類。説明文はコードインジェクションで、分類と説明が一致しない） |
| EPSS | 未算出（FIRST に該当データなし、2026-11-03 時点） |
| KEV | 掲載なし |
| 出典 | NVD、Wordfence、ACF Extended 更新履歴、FIRST、CISA |

## 未確認の点

- 修正版の版番号。0.9.2.7 が修正版かどうか。
- 実際の悪用の有無、攻撃の規模。
- 影響を受けるサイトの数。
- CWE-434 の分類が、説明文の内容とどう対応するか。


## 出典
- [NVD CVE-2026-120534](https://nvd.nist.gov/vuln/detail/CVE-2026-120534) — NIST NVD
- [Wordfence Threat Intelligence](https://www.wordfence.com/threat-intel/vulnerabilities/id/b8a7a925-2b9e-43bc-b649-c7ec518e063c?source=cve) — Wordfence
- [ACF Extended 更新履歴](https://www.acf-extended.com/changelog) — ACF Extended
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120534) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-acf-extended-pro-render-field-code-injection-cve-2026-120534