WORDPRESS SECURITY

Hash Formに未認証PHP Object Injection・RCEにつながるCritical脆弱性（CVE-2026-78292）

Critical

WordPressプラグイン「Hash Form – Drag & Drop Form Builder」の脆弱性情報（CVE-2026-78292）。影響バージョンは1.4.1以下。修正版 1.4.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月11日

対象製品: Hash Form – Drag & Drop Form Builder（プラグイン）
CVE: CVE-2026-78292
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.4.1以下
修正版: 1.4.2
脆弱性種別: 未認証PHP Object Injection / Deserialization of Untrusted Data / Remote Code Execution

脆弱性の概要

Hash Form 1.4.1以下には、未認証の攻撃者が細工したPHPシリアライズデータを注入できるPHP Object Injection脆弱性があり、利用可能なPOPチェーンが存在する環境ではRCEやファイル操作などを通じてサイト完全侵害につながる可能性があります。

技術的な内容

CVE-2026-78292はCWE-502に分類される未認証PHP Object Injectionで、CVSS 9.8 Criticalです。CNA情報では1.4.1以下が影響し、Patchstackは1.4.2を修正版として案内しています。PHP Object Injectionの実害はサイト内に利用可能なガジェットチェーンが存在するかに依存します。WordPress.orgでは現在1.4.4が配布されています。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

1.4.2以上、可能であれば現在の最新版1.4.4へ直ちに更新してください。更新までHash Formの公開フォームを停止・制限し、PHPシリアライズ形式を含む不審なリクエスト、最近のファイル変更、未知の管理者、Webサーバー・PHPログを確認してください。

情報源

情報確認日時：2026年9月11日 06:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。