Elementorの脆弱性。悪意あるリンクを開くと不正な処理が動くおそれ、4.3.6へ更新を（CVE-2026-109883／CVE-2026-109884）

まず確認してください

放置すると

不正なプログラムを置かれて実行され、サイトを乗っ取られたり改ざんされたりするおそれがあります。ログインしていない第三者でも狙えるタイプです。

自社が対象かの確認

WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、「Elementor」があるかを探します。なければ、この情報は関係ありません。あれば、表示されたバージョンを確かめます。対象のバージョンは「Elementor Website Builder本体（WordPress.orgスラッグelementor）4.3.5以下」です。

対象だったら

修正版へ更新します（修正版：Elementor 4.3.6以降（開発元の変更履歴では2026年11月2日に公開））。更新の前にバックアップを取り、更新後に主なページと問い合わせフォームの表示を確かめてください。

自分でできないとき

管理画面に入れない、見方が分からないときは、今の制作会社や保守会社へ「Elementorは入っていますか。バージョンはいくつですか」と聞けば確認できます。担当がいないときは、このページの下の窓口から状況をお送りください。

詳しい情報（制作会社・保守担当の方向け）

WordPressプラグイン「Elementor」の脆弱性情報（CVE-2026-109883 / CVE-2026-109884）。影響バージョンはElementor Website Builder本体（WordPress.orgスラッグelementor）4.3.5以下。修正版 Elementor 4.3.6以降（開発元の変更履歴では2026年11月2日に公開） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Elementor（プラグイン）

CVE

CVE-2026-109883 / CVE-2026-109884

CVSS / 深刻度

7.1 / High

影響バージョン

Elementor Website Builder本体（WordPress.orgスラッグelementor）4.3.5以下

修正版

Elementor 4.3.6以降（開発元の変更履歴では2026年11月2日に公開）

脆弱性種別

クロスサイトスクリプティング（CVE-2026-109883：Code Injectionとして記録されるブラウザー側XSS、CVE-2026-109884：反射型XSS）。未認証の攻撃開始は可能だが被害側ユーザーの操作が必要。

脆弱性の概要

2026年11月6日、Elementor本体のCVE-2026-109883およびCVE-2026-109884が公表されました。いずれも4.3.5以前に存在するCVSS v3.1 7.1（High）のXSSで、攻撃者にログイン権限がなくても、悪意あるリンクやページなどを開いた閲覧者のブラウザーで不正なスクリプトが動くおそれがあります。管理者が被害者となる場合、不正操作につながる可能性がありますが、実際のサイト乗っ取りやサーバー上でのPHPコード実行は確認されていません。開発元は11月2日に4.3.6を公開済みです。二つは同じ製品・修正版のため1記事にまとめます。

技術的な内容

PatchstackはCVE-2026-109883とCVE-2026-109884を別のXSSとして登録し、共に影響をElementor 4.3.5以下、修正を4.3.6、CVSS v3.1 7.1（AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L）と評価。攻撃開始に認証は不要だが、成立には被害側ユーザーによるリンクのクリックや対象画面の閲覧などの操作を要する。CVE-2026-109883の「Code Injection」はCWE-79に分類されるブラウザー上のスクリプト注入であり、サーバーの未認証RCEを意味しない。開発元の4.3.6変更履歴はナビゲーションリンク・アイコンやコンテンツの扱い・Atomic要素/テンプレートでのコードの安全性強化を記載するが、個々のCVEとコード修正箇所の一対一の対応は確認できない。Patchstackの独自優先度はMediumで、CVSSのHighと混同しない。実際の攻撃成功・侵害サイト数の独立した確認はない。対象はスラッグelementorの本体でありElementor ProやElementorアドオンの別製品は含まない。CVE-2026-109883を代表event_keyとし、CVE-2026-109884もcves配列に含める。後続の重複判定では両方のCVE IDを照合する。

悪用状況

実攻撃は未確認

推奨対応

Elementor本体を4.3.6以降に更新し、WordPress管理画面のプラグイン一覧で実稼働版を確認してください。更新前にバックアップを取り、更新後は主要ページの表示・編集・フォームを確認します。不審なリンクを開かないよう管理者・編集担当者へ周知し、通常と異なるログインや管理画面の操作、ユーザー追加などがないか点検してください。実攻撃は確認されていないため侵害が発生したとは断定しません。

情報源

• Elementor開発元（WordPress.org公式：4.3.6リリースとセキュリティ修正の変更履歴）
• Patchstack（CVE-2026-109883：CVSS 7.1、影響版・修正版、悪用条件）
• Patchstack（CVE-2026-109884：CVSS 7.1、影響版・修正版、悪用条件）
• CVE.org（CVE-2026-109883の識別・記録）
• CVE.org（CVE-2026-109884の識別・記録）

情報確認日時：2026年11月8日 00:40

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。