WORDPRESS SECURITY

Super Formsに未認証の任意ファイルアップロード脆弱性、実悪用を確認（CVE-2026-14894）

Critical 実攻撃を確認

WordPressプラグイン「Super Forms – Drag & Drop Form Builder」の脆弱性情報（CVE-2026-14894）。影響バージョンは6.3.313以下。修正版 6.3.314 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月4日

対象製品: Super Forms – Drag & Drop Form Builder（プラグイン）
CVE: CVE-2026-14894
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 6.3.313以下
修正版: 6.3.314
脆弱性種別: 未認証の任意ファイルアップロード → Remote Code Execution

脆弱性の概要

Super Forms 6.3.313以下には、認証されていない攻撃者が任意ファイルをアップロードし、PHPバックドア等の配置からRemote Code Executionへ到達できるCritical脆弱性があります。Wordfenceは実際の攻撃を確認しており、2026年7月14日以降に攻撃が始まり、25万件を超える悪用試行をブロックしたと報告しています。

技術的な内容

公開AJAXのsubmit_form処理でファイル種別検証と権限確認が不足しており、必要なセッションnonceも別の未認証AJAXエンドポイントから取得できるため、2回の未認証HTTPリクエストで悪用可能です。NVDではCVSS 9.8 Critical、CWE-434として公開されています。修正版6.3.314ではファイルアップロード処理が強化されています。

悪用状況

実攻撃を確認

推奨対応

Super Formsを6.3.314以上、可能であれば最新版へ直ちに更新してください。影響バージョンを公開していた場合は、wp-content/uploadsやSuper Formsのアップロード先に不審なPHP・PHTML・PHAR等がないか確認し、admin-ajax.phpへのsubmit_form／super_create_nonce関連アクセス、不審なAdministrator追加、プラグイン・テーマ変更も確認してください。侵害が疑われる場合は認証情報とWordPressの認証キー・saltもローテーションしてください。

情報源

情報確認日時：2026年9月4日 06:32

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。