Contact Form 7 6.2〜6.2.3に認証不要の任意ファイルアップロード｜6.2.4で修正

WordPressプラグイン「Contact Form 7」の脆弱性情報。影響バージョンはContact Form 7 6.2〜6.2.3。ファイルアップロード項目を備えたフォームが対象となり得る。開発元は特にHTTPサーバーでディレクトリ一覧が外部公開される環境を想定。6.1系以前は今回の脆弱性の対象外（強化策は全系列に適用）。。修正版 6.2.4で修正。WordPress.org配布の6.2.4.1を推奨（動作要件：WordPress 7.1以上・PHP 8.3以上）。 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Contact Form 7（プラグイン）

CVSS / 深刻度

— / High

影響バージョン

Contact Form 7 6.2〜6.2.3。ファイルアップロード項目を備えたフォームが対象となり得る。開発元は特にHTTPサーバーでディレクトリ一覧が外部公開される環境を想定。6.1系以前は今回の脆弱性の対象外（強化策は全系列に適用）。

修正版

6.2.4で修正。WordPress.org配布の6.2.4.1を推奨（動作要件：WordPress 7.1以上・PHP 8.3以上）。

脆弱性種別

認証不要の任意ファイルアップロード（検証回避とアップロード済み一時ファイルの不正な保持）

脆弱性の概要

2026年10月29日、Contact Form 7開発元がセキュリティ修正6.2.4を公開。6.2〜6.2.3には、認証していない第三者が複数の欠陥を組み合わせ、フォームで本来拒否されるファイルをアップロードし、送信後すぐ消えるはずのファイルをサーバーに保持できる問題があると公式に説明した。ファイルアップロード項目があるフォームと、特にWebサーバーのディレクトリ一覧表示が有効な構成が想定対象。任意ファイルのアップロードが直ちにPHPコード実行やサイト乗っ取りに成功することを意味しない。2026年10月30日時点で正式なCVE番号とCVSSは確認できず、実際の悪用も未確認。severity=highは未認証アップロードとファイル残存の影響を踏まえたENOL監視上の暫定評価であり、公式採点ではない。

技術的な内容

開発元によると、6.2〜6.2.3の検証回避とアップロード後の一時ファイル削除不備を連鎖させると、通常禁止されるファイルを残せる。報告者はShinya Murakami氏とJakub Herman氏（WPScan経由）。ファイルのWeb公開・取得およびサーバー側での実行可能性はWebサーバーのディレクトリ一覧やアップロード領域のアクセス制御、ファイルタイプ処理等に左右され、未認証RCEとして実証されたとまでは発表されていない。修正版6.2.4ではwpcf7_antiscript_file_name()が拒否リストから拡張子セーフリスト方式へ変更され、規定リストにない拡張子（例：zip、docx、xlsx等）の扱いが変わる。wpcf7_unship_uploaded_file()の引数仕様にも変更があり、独自カスタマイズは動作検証が必要。6.2.4.1は追加のFormDataTree-PHP更新を含む。CVE番号・公式CVSS未公表、実攻撃を確認した一次観測報告なし。開発元の説明以上の影響・成功率を推測しない。

悪用状況

実攻撃は未確認

推奨対応

Contact Form 7 6.2〜6.2.3を利用しているサイトは6.2.4以降、原則として現行の6.2.4.1へ更新する。更新前にWordPress 7.1以上・PHP 8.3以上の要件とテーマ・プラグインの互換性を確認し、必要なら検証環境で先に確認する。お問い合わせフォームの送信・通知メール・ファイル添付・自動返信を実際にテストする。特にzip、Officeファイルなどを受け付ける場合は拡張子セーフリスト変更によるファイル名・送信動作の変化を点検し、危険な実行形式を安易に追加許可しない。Webサーバーでディレクトリ一覧を無効化し、アップロード領域でスクリプトの直接実行を禁止する。脆弱な期間にファイルアップロード機能を公開していたサイトは不審な残存ファイルやアクセスログを調査する。6.1以前はこの欠陥の影響対象外だが旧系列のため、互換性計画を立てて更新する。PHP要件を満たさない環境で無理に最新版を適用しない。

情報源

• Contact Form 7開発元公式（2026-10-29：影響範囲・任意ファイルアップロード・6.2.4修正）
• WordPress.org公式配布（Contact Form 7 6.2.4.1・動作要件・変更履歴）
• mySites.guru（2026-10-29：更新前後の条件・互換性についての整理）

情報確認日時：2026年10月30日 18:54

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。