WORDPRESS SECURITY

Developer Toolsに未認証の任意ファイルアップロードからRCEにつながるCritical脆弱性（CVE-2025-9314）

Critical

WordPressプラグイン「Developer Tools」の脆弱性情報（CVE-2025-9314）。影響バージョンは1.1.3以下。修正版なし（修正版未確認）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Developer Tools（プラグイン）
CVE: CVE-2025-9314
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.1.3以下
修正版: なし（修正版未確認）
脆弱性種別: 未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

Developer Tools 1.1.3以下には、未認証の攻撃者が任意ファイルをアップロードできるCritical脆弱性があり、PHP等の実行可能ファイルを配置してRCE・サイト完全侵害につながる可能性があります。

技術的な内容

同梱されたSWFUploadのアップロード処理に認証とファイル種別・保存先検証の不備があり、外部から任意ファイルをWeb到達可能な場所へ保存できます。WPScanは検証済みのPoCを公開しており、CNA評価はCVSS 9.8 Criticalです。Patchstackも1.1.3以下が影響し、公式修正版なしとしています。現時点でCISA/VulnCheck KEV掲載や信頼できる実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

修正版が確認できるまでDeveloper Toolsを停止・削除してください。直ちに停止できない場合は /wp-content/plugins/developer-tools/libs/swfupload/upload.php への外部アクセスをWebサーバーまたはWAFで遮断し、wp-content/uploads/やプラグイン配下の不審なPHP・Webシェル、最近のファイル変更、Webサーバーログを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

情報確認日時：2026年9月13日 06:45

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。