WordPressプラグイン「Forminator Forms」に任意ファイル削除の脆弱性（CVE-2026-5461）

CVSS 6.5 MEDIUM 未ログインで悪用可能

対象	プラグイン Forminator Forms （Forminator Forms – Contact Form, Payment Form & Custom Form Builder）有効インストール約 600,000 件
影響バージョン	1.55.0.2 以下
修正版	1.55.1
CVE	CVE-2026-5461
種類	任意ファイル操作（External Control of File Name or Path）
悪用される確率（EPSS）	0.29%（全脆弱性の上位 78%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Forminator Forms 1.55.0.2以前では、ログインしていない第三者がアップロードフォルダ（wp-content/uploads）内のPHP以外のファイルを削除できるおそれがあります。画像や添付ファイルが消え、サイト表示や業務に支障が出る可能性があります。

想定される被害と条件

画像・PDFなどメディアライブラリのファイルが削除され、ページに画像が表示されなくなる
フォーム経由で受け付けた添付ファイルなど、業務上必要なデータが失われる
他のプラグインがuploadsフォルダに置く設定ファイルやキャッシュが消え、機能が不安定になる可能性がある
条件: 1.55.0.2以前を使用しており、ファイルアップロード項目と下書き保存機能を有効にしたフォームが公開されている場合（ログイン不要で狙われる）

今日やること

Forminator Forms を 1.55.1 以上に今日中に更新し、すぐ更新できない場合はプラグインの一時停止を検討してください。

すぐに更新できない場合

ファイルアップロード項目や下書き保存（Save and Continue）機能を使っているフォームを一時的に非公開にするか、それらの機能を無効化してください。あわせて、WAFやセキュリティプラグインのルールを最新化し、uploadsフォルダのバックアップを取得しておくと安心です。

更新後に確認すること

管理画面「メディア」→「ライブラリ」で、サムネイルが表示されない（ファイルが消えた）画像が無いか確認する
主要ページを開き、画像やダウンロードファイルが正しく表示・取得できるか確認する
Forminatorの「送信」一覧で、添付ファイルが開けない送信や、見覚えのない下書き送信が大量に無いか確認する
消えたファイルがあれば、サーバーやバックアッププラグインのバックアップからuploadsフォルダを復元する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Forminator Forms の現在の情報（WordPress.org、2026-11-02 取得）

最新版	1.58.3 修正版を含む
対応 WordPress	6.4 以上（検証済み 7.1.4）
最終更新	2026-10-27 9:05am GMT
有効インストール	600,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Forminator Forms plugin for WordPress is vulnerable to Limited File Deletion in all versions up to, and including, 1.55.0.2. This is due to the plugin accepting arbitrary upload field metadata from POST requests in draft submissions without proper validation, which is then used to delete files when a subsequent draft references the poisoned draft via the previous_draft_id parameter. This makes it possible for unauthenticated attackers to delete arbitrary non-PHP files within the wp-content/uploads/ directory.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/de1aaacf-8fe1-4a1e-9846-f78cc469ec20?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。