WordPressプラグイン「Bit Flows」にローカルファイルインクルードの脆弱性（CVE-2026-110185）

CVSS 5.9 MEDIUM 未ログインで悪用可能

対象	プラグイン Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More 有効インストール約 1,000 件
影響バージョン	1.31.0 以下
修正版	1.32.0
CVE	CVE-2026-110185
種類	任意ファイル操作（Improper Control of Filename for Include/Require Statement in PHP Program）
悪用される確率（EPSS）	0.55%（全脆弱性の上位 54%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

Bit Flows 1.31.0以前では、特定の設定で、ログインしていない第三者がサーバー上のPHPファイルを読み込ませて実行できます。情報漏えいや、条件次第でサイト乗っ取りにつながるおそれがあります。

想定される被害と条件

サーバー上のPHPファイルが勝手に実行され、アクセス制限を回避されるおそれ
設定情報などの機密データが外部に漏れるおそれ
PHPファイルをアップロードできる環境では、サイトを乗っ取られるおそれ
被害が起きる条件：Webhookで起動するフローがあり、その受信データを画像処理（ImageHelperのimageToBase64）に渡している場合
さらにWebhookが初期設定のまま（シークレット認証なし・IP制限なし）であることが条件

今日やること

Bit Flows（bit-pi）を1.32.0以上に今日中に更新し、すぐ更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新までの間、Webhookで起動しImageHelperの画像変換を使うフローを無効化してください。無効化できない場合は、Webhookにシークレット（Bearer）認証とIP制限を設定してください。

更新後に確認すること

Bit Flowsのフロー一覧と実行ログで、身に覚えのないWebhook実行がないか確認する
管理画面の「ユーザー」で、知らない管理者アカウントが増えていないか確認する
保守業者に依頼し、wp-content/uploads などに不審なPHPファイルがないか、最近変更されたファイルがないか確認してもらう
不審な点があれば、データベースや外部サービス連携のパスワード・APIキーを変更する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More の現在の情報（WordPress.org、2026-11-02 取得）

最新版	1.32.0 修正版を含む
対応 WordPress	5.8 以上（検証済み 7.1.4）
最終更新	2026-10-18 12:31pm GMT
有効インストール	1,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 1.31.0 via the ‘image (any body field referenced by the ImageHelper node’s mix tag)’ parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Exploitation requires that an administrator has built a webhook-triggered flow that pipes a webhook body field into an ImageHelper imageToBase64 node, and that the webhook remains in its default configuration (no bearer secret enforced, no IP allowlist set) — a legitimate and documented use case.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/d7ae89c1-d128-4b0c-ae70-69b0cd219382?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。