WordPressテーマ「Avada」に任意ファイルアップロードの脆弱性（CVE-2026-115346）

CVSS 8.1 HIGH 未ログインで悪用可能

対象	テーマ Avada （Avada \| Website Builder For WordPress & WooCommerce）
影響バージョン	7.16.2 以下
修正版	7.16.4
CVE	CVE-2026-115346
種類	任意ファイル操作（Unrestricted Upload of File with Dangerous Type）
悪用される確率（EPSS）	0.66%（全脆弱性の上位 48%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Avada 7.16.2以前では、ログインしていない第三者が危険なファイルをサーバーにアップロードできる恐れがあります。悪用されるとサイトを乗っ取られ、改ざんや情報流出につながる可能性があります。

想定される被害と条件

Avada 7.16.2以前を使用している場合、ログイン不要で不正なファイルを設置される恐れ
設置されたファイルが実行されると、サイトを乗っ取られる（リモートコード実行）可能性
ページの改ざんや、訪問者を詐欺サイトへ誘導するスパム・マルウェアの埋め込み
データベース内の会員情報・注文情報（WooCommerce利用時）などの漏えい
同じサーバー上の他サイトへの被害拡大やバックドアの設置

今日やること

Avadaテーマを7.16.4以上に更新し、すぐに更新できない場合はWAFでの防御やサイトの一時停止を検討してください。

すぐに更新できない場合

Wordfence等のWAFを導入して最新のファイアウォールルールを適用し、アップロードフォルダ（wp-content/uploads）でPHPファイルの実行を禁止する設定をサーバー側で行ってください。

更新後に確認すること

サーバーのファイルマネージャー等で wp-content/uploads 配下に .php など画像以外の不審なファイルが無いか確認する
管理画面の「ユーザー」に見覚えのない管理者アカウントが追加されていないか確認する
セキュリティプラグイン（Wordfence等）でマルウェアスキャンを実行し、改ざんされたファイルが無いか確認する
サイトの表示や外部へのリダイレクトに異常が無いか、アクセスログに不審なアップロード要求が無いか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Avada | Website Builder For WordPress & WooCommerce theme for WordPress is vulnerable to Arbitrary File Upload in versions up to, and including, 7.16.2 via the convert_palette_images_to_truecolor() function. This is due to insufficient file type validation before processing uploaded files. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/af757e6b-cbb3-4efd-8c83-99a03dee2311?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。