WordPressプラグイン「Gravity Forms」にPHPオブジェクトインジェクションの脆弱性（CVE-2026-103039）

CVSS 9.8 CRITICAL 未ログインで悪用可能

対象	プラグイン Gravity Forms
影響バージョン	3.1.2 以下
修正版	3.1.3
CVE	CVE-2026-103039
種類	リモートコード実行（Deserialization of Untrusted Data）
悪用される確率（EPSS）	0.51%（全脆弱性の上位 57%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Gravity Forms 3.1.2以前では、ログインしていない第三者がフォーム送信を通じて不正なデータを投稿のカスタムフィールドに埋め込める恐れがあります。他のプラグインやサーバー環境の条件次第では、サイトを乗っ取られる（遠隔からのコード実行）危険があります。

想定される被害と条件

投稿を作成するフォームで、入力形式が「リスト」の投稿カスタムフィールドを使っている場合に、不正なデータが投稿メタに保存される
他のプラグインやテーマに悪用可能な処理が含まれている場合、サイト上で任意のプログラムを実行され、改ざんやマルウェア設置につながる
カスタムフィールドがページテンプレート設定（_wp_page_template）に割り当てられ、サーバーにPEARがありregister_argc_argvが有効な環境では、WordPress本体の仕組みを経由して乗っ取りに至る恐れがある
サイト乗っ取りにより、顧客情報や問い合わせ内容の漏えい、管理者アカウントの不正作成が起こり得る

今日やること

Gravity Formsを3.1.3以上に今日中に更新し、すぐ更新できない場合は該当フォームの停止またはプラグインの一時停止を検討してください。

すぐに更新できない場合

更新までの間、「投稿の作成」機能とリスト形式の投稿カスタムフィールドを使うフォームを非公開にするか削除し、WAFで不審なフォーム送信を遮断してください。

更新後に確認すること

管理画面の「投稿」「固定ページ」に、身に覚えのない下書きや投稿、テンプレート設定が変更されたページがないか確認する
「ユーザー」一覧に見覚えのない管理者アカウントが追加されていないか確認する
Gravity Formsの「エントリー」で、リスト項目に不自然な記号列（O:や a: で始まる文字列など）を含む送信がないか確認する
サーバー上のwp-content配下（uploads等）に最近作られた不審なPHPファイルがないか、保守業者やセキュリティプラグインでスキャンする

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Gravity Forms plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.1.2 via a Post Custom Field whose input type is List. This is due to GFFormsModel::create_post() passing the submitted value to WordPress’ unrestricted global maybe_unserialize() rather than the plugin’s own hardened GFCommon::maybe_unserialize(), which was added in 3.1.1 and passes allowed_classes => false precisely to prevent object instantiation. Where the field has a content template enabled, the submitted row reaches that call verbatim. This makes it possible for unauthenticated attackers to inject a PHP object into post meta. No PHP Object Injection gadget chain is present in the plugin itself; however, if a gadget chain is present via an additional plugin or theme, it could allow the attacker to perform actions such as remote code execution. Where the custom field is mapped to the protected _wp_page_template meta key, WordPress itself supplies the chain: validate_file() accepts non-scalars, WP_Theme::__toString() then resolves an attacker-controlled path, and on hosts with a readable PEAR install and register_argc_argv enabled this yields remote code execution.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/ec1fba15-81e5-42e3-9154-1978c3f81b26?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。