WORDPRESS SECURITY

SigmaForms Proに未認証の任意ファイル削除脆弱性、RCEにつながる可能性（CVE-2026-78657）

Critical

WordPressプラグイン「SigmaForms Pro – AI Generated Forms」の脆弱性情報（CVE-2026-78657）。影響バージョンは1.4.11以下。修正版 1.4.12 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月8日

対象製品: SigmaForms Pro – AI Generated Forms（プラグイン）
CVE: CVE-2026-78657
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.4.11以下
修正版: 1.4.12
脆弱性種別: 未認証の任意ファイル削除 / Path Traversal（RCE連鎖の可能性）

脆弱性の概要

SigmaForms Pro 1.4.11以下では、未認証の攻撃者がフォームのアップロード項目にパストラバーサル文字列を混入し、サーバー上の任意ファイル削除につながるデータを保存できます。wp-config.phpなど重要ファイルの削除に成功すると、サイト停止や再セットアップを経由したRCE・サイト侵害につながる可能性があります。

技術的な内容

delete_submission_files()でファイルパス検証が不十分です。攻撃者がフォーム送信時に細工したパスを保存し、その後管理者が該当の送信レコードを管理画面から削除した際に、攻撃者が指定したサーバー上のファイルが削除される可能性があります。CVE CNAはCVSS 9.8 Critical。Patchstackでは1.4.12で修正済みとされています。現時点でCISA KEV掲載や実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

SigmaForms Proを1.4.12以上へ直ちに更新してください。更新できない場合は一時停止し、フォーム送信データ内の../等のパストラバーサル文字列、異常なファイル参照、Webアクセスログを確認してください。wp-config.phpやWordPressコアファイルの欠損・改変も確認し、侵害が疑われる場合は認証キー・管理者資格情報のローテーションとサイト全体の調査を実施してください。

情報源

情報確認日時：2026年9月8日 12:18

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。