WORDPRESS SECURITY

Gravity Formsに未認証の任意ファイルアップロード脆弱性、条件次第でRCE（CVE-2026-19513）

High

更新日：2026年9月2日

対象製品: Gravity Forms（プラグイン）
CVE: CVE-2026-19513
CVSS / 深刻度: 8.1 / High
影響バージョン: 3.0.2以下
修正版: 3.0.3
脆弱性種別: 未認証の任意ファイルアップロードから条件付きRemote Code Execution

脆弱性の概要

Gravity Forms 3.0.2以下には、公開フォームの複数ファイルアップロード機能を悪用し、認証されていない攻撃者が攻撃者指定の拡張子でファイルを書き込める脆弱性があります。NGINXなど.htaccessの実行禁止設定が効かない構成では、PHP実行からリモートコード実行やサイト侵害につながる可能性があります。

技術的な内容

複数ファイルアップロードのチャンク継続状態で公開フォーム状態用のハッシュをアップロード継続用ハッシュとして再利用できる問題と、一時ファイル名の検証順序の不備が組み合わさります。公開フォームにFile UploadフィールドがありMultiple Filesが有効な場合、許可されたPNGやPDFのポリグロットを.phpや.html名で一時アップロード先へ書き込めます。Apache系でGravity Formsの.htaccessが有効ならPHP実行は抑止されますが、NGINX等ではRCEへ発展する可能性があります。現時点で実悪用は確認できていません。

悪用状況

実攻撃は未確認

推奨対応

Gravity Formsを3.0.3以上、可能であれば最新版へ更新してください。公開フォームで複数ファイルアップロードを使用していた場合は、Gravity Formsの一時アップロード先やwp-content/uploads配下に不審なPHP・HTMLファイルがないか確認してください。更新まで時間がかかる場合はFile UploadまたはMultiple Filesを一時停止し、Webサーバー側でもアップロードディレクトリのPHP実行を禁止してください。

情報源

情報確認日時：2026年9月2日 06:39

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。