WORDPRESS SECURITY

Drag and Drop File Upload for Elementor Formsに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-18351）

Critical

WordPressプラグイン「Drag and Drop File Upload for Elementor Forms」の脆弱性情報（CVE-2026-18351）。影響バージョンは1.6.0以下。修正版 1.6.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月10日

対象製品: Drag and Drop File Upload for Elementor Forms（プラグイン）
CVE: CVE-2026-18351
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.6.0以下
修正版: 1.6.1
脆弱性種別: 未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

Drag and Drop File Upload for Elementor Forms 1.6.0以下には、未認証の攻撃者がファイル種別検証を回避して実行可能なファイルをアップロードし、リモートコード実行につなげられるCritical級の脆弱性があります。

技術的な内容

CVE-2026-18351はelementor_file_upload処理のis_file_type_valid()におけるファイル種別検証不備です。攻撃者が制御できるtypeパラメータがMIME許可リストの正規表現キーとして使われるため、細工した拡張子で検証を回避し、sanitize_file_name()後にPHP拡張子として扱われるファイルをアップロードできる可能性があります。CNAのCVSSは9.8 Criticalです。CVEは2026年9月10日に公開され、現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Drag and Drop File Upload for Elementor Formsを1.6.1以上へ直ちに更新してください。更新までの間は必要に応じてプラグインを停止し、アップロードディレクトリでPHP等のスクリプト実行を禁止してください。最近作成された不審なPHPファイル、Elementorフォーム経由の不審なアップロード、未知の管理者・バックドア、Webサーバーログを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

情報確認日時：2026年9月10日 12:39

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。