CVSS 9.8 CRITICAL 未ログインで悪用可能
| 対象 | プラグイン Ultra Addons for Contact Form 7 有効インストール約 60,000 件 |
|---|---|
| 影響バージョン | 3.5.54 以下 |
| 修正版 | 3.5.55 |
| CVE | CVE-2026-102435 |
| 種類 | 任意ファイル操作（Deserialization of Untrusted Data） |
| 公表 | 2026年11月2日 当サイト掲載: 2026年11月2日 17:16 |
何が起きるか
ログインしていない第三者が、サーバー上の任意のファイルを削除できる恐れがあります。wp-config.php などの重要ファイルが削除されると、サイト乗っ取りにつながる可能性があります。
想定される被害と条件
- サーバー上の任意のファイルが削除され、サイトが表示されなくなる
- wp-config.php が削除されると、サイトの再セットアップ画面を悪用され乗っ取られる恐れがある
- 乗っ取り後に不正なプログラムを設置され、改ざんや情報流出につながる可能性
- 被害が起きるのは、PDF生成（PDF Generator）アドオンが有効で、Contact Form 7 のフォームでPDF生成が設定されている場合に限られる
今日やること
Ultra Addons for Contact Form 7 を 3.5.55 以上に今すぐ更新し、更新できない場合はプラグインの停止・削除を検討してください。
すぐに更新できない場合
すぐに更新できない場合は、Ultra Addons for Contact Form 7 の PDF Generator 機能を無効化するか、フォームのPDF生成設定を外してください。WAF の導入・有効化も併せて検討してください。
更新後に確認すること
- サイトが正常に表示されるか、また突然 WordPress の初期インストール画面が表示されないかを確認する
- サーバー上に wp-config.php や .htaccess などの重要ファイルが存在し、不審な変更がないかを保守担当者・ホスティング会社に確認してもらう
- 管理画面の「ユーザー」に見覚えのない管理者アカウントが追加されていないか確認する
- 「プラグイン」「テーマ」に見覚えのないものが追加されていないか、サーバーに不審なファイルがないかを確認し、異常があればバックアップから復旧する
不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。
Ultra Addons for Contact Form 7 の現在の情報 （WordPress.org、2026-11-02 取得）
| 最新版 | 3.5.57 修正版を含む |
|---|---|
| 対応 WordPress | 6.8 以上（検証済み 7.1.4） |
| 最終更新 | 2026-11-01 12:35pm GMT |
| 有効インストール | 60,000+ |
| リンク | WordPress.org のページ 公式サイト |
原文（Wordfence Intelligence）
The Ultra Addons for Contact Form 7 plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the _getObjAttr function in all versions up to, and including, 3.5.54. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This requires the PDF Generator add-on to be active and a Contact Form 7 form to be configured for PDF generation, as the WPCF7_Submission POP gadget chain relies on CF7 being present to complete the file deletion via __destruct(). Note: This vulnerability can only be exploited when the PDF generator feature is enabled.
参考リンク
脆弱性情報の出典と著作権
脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.
CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.
本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。
最近公表された深刻度の高い脆弱性
- WordPressプラグイン「s2Member」にリモートコード実行の脆弱性（CVE-2026-86596） 2026/11/02
- WordPressプラグイン「NextGEN Gallery」にリモートコード実行の脆弱性（CVE-2026-76010） 2026/10/31
- WordPressプラグイン「Debug Log Manager」にXSSの脆弱性（CVE-2026-120114） 2026/10/31
- WordPressプラグイン「WP Directory Kit」にSQLインジェクションの脆弱性（CVE-2026-109197） 2026/10/31
- WordPressプラグイン「SimpleForm」にリモートコード実行の脆弱性（CVE-2026-118235） 2026/10/31
