JetFormBuilderに未認証でAdministrator作成可能なCritical権限昇格、攻撃試行を観測（CVE-2026-12793）

WordPressプラグイン「JetFormBuilder — Dynamic Blocks Form Builder」の脆弱性情報（CVE-2026-12793）。影響バージョンは3.6.2以下。修正版 3.6.2.1（現行最新版以上を推奨） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

JetFormBuilder — Dynamic Blocks Form Builder（プラグイン）

CVE

CVE-2026-12793

CVSS / 深刻度

9.8 / Critical

影響バージョン

3.6.2以下

修正版

3.6.2.1（現行最新版以上を推奨）

脆弱性種別

未認証の権限昇格 / Administrator作成 / Broken Authentication

脆弱性の概要

JetFormBuilder 3.6.2以下には、未認証の攻撃者が任意のAdministratorアカウントを作成できるCritical脆弱性があります。Wordfenceは直近24時間でこの脆弱性を狙う10,229件の攻撃をブロックしたと報告しています。

技術的な内容

送信されたフォームIDがJetFormBuilderのフォームに属するか検証せず、参照先投稿の内容をフォームスキーマとして解析してAdvanced Validationのサーバーサイドコールバックを実行することが原因です。CVE-2026-12793、CVSS 9.8 Critical。Wordfenceは未認証でAdministrator作成が可能とし、3.6.2.1を修正版としています。WordPress.orgの変更履歴でも3.6.2.1で未認可のJetEngine Update Options書き込み防止、3.6.2.2でSSR validation privilege escalation hardeningが記載されています。

悪用状況

実攻撃を確認

推奨対応

3.6.2.1以上、可能であれば現行最新版へ直ちに更新してください。最近作成されたAdministrator、ユーザーロール変更、JetFormBuilderのフォーム送信、Web/PHPログを確認し、不審な管理者作成や侵害の兆候があれば管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

• WordPress.org（開発元公式・3.6.2.1/3.6.2.2修正履歴）
• CVE.org（CVE情報）
• Wordfence Threat Intelligence（CNA・技術解析・攻撃観測）
• Patchstack（脆弱性情報）

情報確認日時：2026年9月16日 12:53

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。