WORDPRESS SECURITY

Everest Formsに未認証PHP Object Injection・RCEにつながるCritical脆弱性（CVE-2026-62103）

Critical

WordPressプラグイン「Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI」の脆弱性情報（CVE-2026-62103）。影響バージョンは3.6.0以下。修正版 3.6.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI（プラグイン）
CVE: CVE-2026-62103
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 3.6.0以下
修正版: 3.6.1
脆弱性種別: 未認証PHP Object Injection / Deserialization of Untrusted Data / Remote Code Executionにつながる可能性

脆弱性の概要

Everest Forms 3.6.0以下には、未認証の攻撃者がPHP Object Injectionを行えるCritical脆弱性があり、利用可能なPOPチェーンが存在する環境ではRCEやデータ改ざんなどのサイト侵害につながる可能性があります。

技術的な内容

CVE-2026-62103はCWE-502に分類される未認証PHP Object Injectionで、CVSS 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）です。3.6.0以下が影響し、3.6.1は非影響として登録されています。WordPress.orgでも3.6.1の変更履歴にファイルアップロードフィールドのデータ処理に関するセキュリティ強化が記載されています。現時点でCISA KEV掲載、公開PoC、信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

3.6.1以上へ直ちに更新してください。公開フォームへの不審なシリアライズデータを含むリクエスト、最近のファイル変更、未知の管理者・高権限ユーザー、PHP/Webサーバーログを確認してください。

情報源

情報確認日時：2026年9月12日 18:17

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。