CyberSecurityAction

脆弱性情報

WordPressプラグインForminatorに深刻な脆弱性、認証不要のRCEが可能に

60万超のサイトで利用されるフォーム作成プラグイン「Forminator Forms」にCVSS 9.8の重大な脆弱性が発見されました。悪意あるPHPファイルをアップロードするだけで、攻撃者がサーバーを乗っ取れる恐れがあります。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
WordPressプラグインForminatorに深刻な脆弱性、認証不要のRCEが可能に

THREAT GAUGE算出基準

IMPACT（影響範囲）9.5
URGENCY（対応緊急度）9.8
EXPLOIT（悪用の容易さ）9.0

“認証不要・遠隔コード実行可能・60万超サイトが対象”

01 · Overview

ニュースの概要

WordPressで広く使われているフォーム作成プラグイン「Forminator Forms」に、ログインや認証なしにサーバー上で任意のコードを実行できる（RCE）重大な脆弱性が発見されました。CVE-2026-15748として管理されるこの脆弱性は、共通脆弱性評価システム（CVSS）で満点に近い9.8というスコアが付けられており、悪用された場合の被害は非常に深刻です。

Forminator Formsは60万以上のサイトで有効化されている人気プラグインで、日本国内の企業・団体のWordPressサイトでも広く導入されています。攻撃者は認証なしに悪意のあるPHPファイルをサーバーへアップロードし、それを実行することでWebサイトの完全な制御を奪い取ることができます。

この攻撃手法は「ファイルアップロードによるRCE」と呼ばれる古典的かつ破壊力の高いものです。一度サーバー上でコードを実行できれば、データベースの中身の窃取、マルウェアの埋め込み、他サイトへの踏み台利用など、あらゆる悪意ある行為が可能になります。

脆弱性はセキュリティ研究者によって発見・報告されたもので、現時点で公表されている情報から被害報告の有無や悪用の詳細は確認できません。ただし、CVSSスコアが9.8と非常に高く、対象サイト数も膨大なため、速やかなアップデートが強く推奨されます。

国内のWordPress利用者・管理者は、使用しているプラグインの一覧を直ちに確認し、Forminator Formsが導入されている場合は修正バージョンへのアップデートを最優先で実施してください。

脆弱性ID
CVE-2026-15748
CVSSスコア
9.8 / 10.0（Critical）
影響サイト数
60万以上（アクティブインストール）
攻撃に認証
不要（Unauthenticated）
攻撃の種類
悪意あるPHPファイルのアップロード
対象
WordPressプラグイン Forminator Forms

情報源: The Hacker News（2026年8月17日付）報道をもとに、日本語で解説・加筆しています。

02 · Analysis

詳細な原因解説

今回の脆弱性の根本原因は、Forminator Formsのファイルアップロード機能における検証不足にあります。Webフォームでは画像やPDFなどのファイルを受け付けることがありますが、アップロードされたファイルの種類（拡張子や内容）を適切に検証・制限していない場合、攻撃者はPHPスクリプトなどの実行可能ファイルをサーバーへ送り込むことができます。

特に深刻なのは「認証不要」という点です。通常、危険な操作にはログインが必要ですが、この脆弱性ではサイトを訪問した誰もが（ログインしていない状態でも）攻撃を試みることができます。つまり、攻撃の難易度が非常に低く、自動化されたスキャナーや攻撃ツールによって世界中から無差別に狙われるリスクがあります。

WordPressのプラグインエコシステムは非常に便利な反面、サードパーティ（第三者）が開発したコードがそのままサーバー上で動作するため、一つのプラグインの脆弱性が即座にサイト全体の陥落につながります。Forminator Formsのような利用者の多いプラグインは攻撃者に狙われやすく、パッチ（修正版）が公開されてから実際に悪用が始まるまでの「猶予時間」も短い傾向があります。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

S：攻撃手順を代替できるか

PHPアップロード以外に、攻撃者が同様の権限奪取を試みる代替手段はあるか？

今回の脆弱性はPHPファイルのアップロードによるRCEですが、類似の攻撃として「テーマエディタからのコード挿入」「他のプラグインの別脆弱性を組み合わせた権限昇格」なども存在します。単一の脆弱性対応で満足せず、複数の攻撃経路を想定した多層防御（Defense in Depth）の設計が重要です。

C：既存の対策を組み合わせる

WAF・CSP・サーバー設定を組み合わせてリスクを最小化できるか？

WAF（Webアプリケーションファイアウォール）によるPHPアップロードのブロック、Content Security Policy（CSP）の適用、さらにサーバー設定（.htaccess等）によるアップロードディレクトリでのPHP実行無効化を組み合わせることで、脆弱なプラグインが残っていても被害を大幅に限定できます。

E：被害範囲を最小化する方法

権限の分離やネットワーク分割で被害を最小化できるか？

WordPressのWebサーバーアカウントに付与する権限を最小限にする「最小権限の原則」を徹底すると、仮にRCEが成立しても攻撃者の行動範囲を制限できます。また、データベースサーバーやバックエンドシステムをネットワーク的に分離しておくことで、侵害の横展開（ラテラルムーブメント）を防げます。

プラグインエコシステムのリスク構造

なぜWordPressプラグインは繰り返し深刻な脆弱性の温床になるのか？

WordPressのプラグインエコシステムは「誰でも開発・公開できる」という開放性が強みである一方、セキュリティレビューの質にばらつきがあります。利用者は利便性でプラグインを選びますが、セキュリティ品質は見えにくい。その結果、多くのサイトが同一の脆弱なコードを抱え込み、一つの発見が大規模な被害につながる構造になっています。

パッチ適用の遅延ループ

修正版が出てもすぐに更新されない理由は何か？

多くのWordPressサイト管理者は「更新すると表示が崩れるかもしれない」という懸念から、プラグインの自動更新を無効化していることがあります。このためパッチが公開されても実際に適用されるまでに時間差が生まれ、その間に攻撃者がスキャン・悪用を試みます。互換性テストの仕組みを整えることが、このループを断ち切る鍵です。

公開情報が攻撃を加速する逆説

脆弱性の公開がかえって攻撃を増やすメカニズムとは？

CVEやメディア報道による脆弱性情報の公開は、管理者の対応を促す一方で、攻撃者にも攻撃の方法と対象（60万以上のサイト）を教えてしまいます。パッチ公開から管理者が実際に更新するまでの「ウィンドウ」が短いほど被害が減るため、自動更新の有効化や監視体制の構築が組織全体のリスクを左右します。

今すぐできる多層防御のポイント

最も即効性が高いのは、修正済みバージョンへの即時アップデートです。WordPress管理画面からワンクリックで更新できますが、事前に本番環境のバックアップを取得しておくと安心です。更新後は主要ページの表示確認を忘れずに行いましょう。

アップデートが難しい場合の次善策として、WAFによる悪意あるアップロードのブロックと、サーバー設定でアップロードディレクトリ（wp-content/uploads等）内のPHPファイル実行を禁止する設定が有効です。多くのレンタルサーバーやクラウドホスティングでも対応可能なため、ホスティング事業者のサポートに確認してみてください。

長期的には「使っていないプラグインはすぐに削除する」習慣が重要です。無効化しただけではコードがサーバーに残るため、脆弱なコードを踏まれるリスクがなくなりません。定期的なプラグイン棚卸しと、更新通知を見逃さない仕組み（管理者メールアドレスの最新化など）を整えることが、継続的なセキュリティ維持につながります。

06 · AI Prompt

AI対策プロンプト

あなたは中小企業のWordPressサイト担当者です。以下の情報をもとに、[担当者の役割]向けに、[サイトの用途]を運営しているサイトが CVE-2026-15748（Forminator Forms の認証不要RCE脆弱性）の影響を受けているかどうかを確認し、対応するための手順書を作成してください。手順書には「影響確認の方法」「アップデート手順」「侵害確認のチェックリスト」「応急処置（アップデートできない場合）」の4セクションを含め、[技術レベル]の担当者でも実行できるよう平易な言葉で記述してください。また、対応完了後に[上長や報告先]へ報告するための簡潔なインシデントレポートのテンプレートも追加してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

手順書を使う担当者の立場や職種

運営しているWordPressサイトの目的・種類

担当者のITリテラシーや技術習熟度

インシデントレポートの提出先・報告相手

キーワード

  • Forminator
  • WordPress脆弱性
  • CVE-2026-15748
  • RCE
  • ファイルアップロード攻撃

SOURCES · 参考情報源