Advanced Custom Fields: Extended PROに未認証RCE（0.9.2.6以下）

WordPressプラグイン「Advanced Custom Fields: Extended PRO」の脆弱性情報。影響バージョンは0.9.2.6以下。修正版 0.9.2.7 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Advanced Custom Fields: Extended PRO（プラグイン）

CVSS / 深刻度

9.8 / Critical

影響バージョン

0.9.2.6以下

修正版

0.9.2.7

脆弱性種別

未認証のコードインジェクション / Remote Code Execution / 任意WordPress関数呼び出し

脆弱性の概要

Advanced Custom Fields: Extended PRO 0.9.2.6以下には、特定条件下で未認証の攻撃者が任意のWordPress関数を制御された引数で呼び出し、Remote Code Executionへ到達できる重大脆弱性があります。

技術的な内容

フォーム設定由来のパラメータを十分に検証せずフィールド設定へマージし、動的レンダリング時にcall_user_func_arrayへ渡すことが原因です。公開解析では、非デフォルトのshortcode_previewが有効な場合、またはOpenSSLが利用できずACF Proの復号処理が検証なしbase64フォールバックを使う環境で未認証の悪用経路が成立します。WordPress.orgの0.9.2.7変更履歴にはACF Extended ProのFormsでshortcode previewに関するsecurity issue修正が明記されています。Patchstackは同問題をUnauthenticated RCEとして掲載しています。

悪用状況

実攻撃は未確認

推奨対応

ACF Extended PROを0.9.2.7以上へ直ちに更新してください。特にフォームでshortcode previewを有効化しているサイトやOpenSSLが利用できない環境は優先度を上げ、フォーム関連リクエスト、Web/PHPログ、不審なPHPファイル、ユーザー追加・権限変更を確認してください。

情報源

• WordPress.org（開発元公式・0.9.2.7セキュリティ修正）
• Wordfence Threat Intelligence（技術解析）
• Patchstack脆弱性データ（Vulners mirror）

情報確認日時：2026年9月16日 12:53

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。