Contact Form 7の脆弱性。攻撃が報告され不正なファイルを置かれるおそれ、6.2.5へ更新を（CVE-2026-114432）

まず確認してください

放置すると

不正なプログラムを置かれて実行され、サイトを乗っ取られたり改ざんされたりするおそれがあります。ログインしていない第三者でも狙えるタイプです。すでに実際の攻撃が確認されているので、早めに確認してください。

自社が対象かの確認

WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、「Contact Form 7」があるかを探します。なければ、この情報は関係ありません。あれば、表示されたバージョンを確かめます。対象のバージョンは「Contact Form 7 6.2～6.2.3。ファイルアップロード欄を設けたフォームを公開しているサイト。実行に至るかはWebサーバー設定に依存し、すべてのWordPressサイトでコード実行できるわけではない。」です。

対象だったら

修正版へ更新します（修正版：6.2.4以降で修正。2026年11月10日公開の最新版は6.2.5（WordPress 7.1以上など動作要件を事前確認）。）。更新の前にバックアップを取り、更新後に主なページと問い合わせフォームの表示を確かめてください。

自分でできないとき

管理画面に入れない、見方が分からないときは、今の制作会社や保守会社へ「Contact Form 7は入っていますか。バージョンはいくつですか」と聞けば確認できます。担当がいないときは、このページの下の窓口から状況をお送りください。

詳しい情報（制作会社・保守担当の方向け）

WordPressプラグイン「Contact Form 7」の脆弱性情報（CVE-2026-114432）。影響バージョンはContact Form 7 6.2～6.2.3。ファイルアップロード欄を設けたフォームを公開しているサイト。実行に至るかはWebサーバー設定に依存し、すべてのWordPressサイトでコード実行できるわけではない。。修正版 6.2.4以降で修正。2026年11月10日公開の最新版は6.2.5（WordPress 7.1以上など動作要件を事前確認）。 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Contact Form 7（プラグイン）

CVE

CVE-2026-114432

CVSS / 深刻度

9.8 / Critical

影響バージョン

Contact Form 7 6.2～6.2.3。ファイルアップロード欄を設けたフォームを公開しているサイト。実行に至るかはWebサーバー設定に依存し、すべてのWordPressサイトでコード実行できるわけではない。

修正版

6.2.4以降で修正。2026年11月10日公開の最新版は6.2.5（WordPress 7.1以上など動作要件を事前確認）。

脆弱性種別

認証不要の任意ファイルアップロード（CWE-434）。ファイル検証・一時ファイル削除の不備。一部Apache構成ではリモートコード実行（RCE）の可能性。VulnCheck KEVで実悪用とされた状況変化。

脆弱性の概要

2026年11月8日、VulnCheckの悪用確認リスト（KEV）にContact Form 7のCVE-2026-114432が追加され、Patchstackも当該脆弱性に「Known to be exploited」と表示しています。従来の2026年10月29日公開の修正情報から、実悪用が報告された段階への重大な状況変化です。ただし、VulnCheckの公開根拠はPatchstackの1件で、独立した複数の攻撃観測や実際の侵害成功件数は確認できません。2026年11月10日版のCISA KEVには未登録です。修正は6.2.4で実施済み、11月10日には6.2.5が公開されました。

技術的な内容

WPScanのCVE-2026-114432によれば、Contact Form 7 6.2～6.2.3でファイルアップロード後の型・拡張子検査と一時ファイル削除を組み合わせて回避され、未認証の第三者が本来拒否されるファイルをサーバー上に残せる。初期構成の一部Debian/Ubuntu上のApacheでディレクトリ一覧と.pharのPHP実行が有効な場合は、残存ファイルに到達してコード実行に至る可能性がある。一方、nginxや適切に制限されたApacheでは任意ファイル残存・能動コンテンツ配信などの範囲にとどまる場合がある。CISAのVulnrichmentにおけるCVSS v3.1は9.8（Critical）、Patchstackは8.1（High）かつ独自優先度Mediumであり評価を混同しない。PatchstackのKEV表示とVulnCheck KEV 2026年11月8日登録は別々の攻撃観測証拠ではなく、公開根拠は同じPatchstackに依存する。CISA KEVには2026年11月10日現在未登録で、個別の実侵害例・成功数・攻撃リクエスト数は公開資料で確認できない。既存の2026年10月29日登録記事は欠陥と修正版の初報、今回の記事は後日の実悪用情報という異なるイベントである。

悪用状況

実攻撃を確認

推奨対応

6.2～6.2.3を利用中の場合は直ちに6.2.4以降へ更新し、WordPress 7.1以上・PHPの動作要件を確認できる環境では最新の6.2.5を推奨。WordPress/PHPが古いサイトでは互換性を検証し、無理な更新でフォームを停止させない。更新前バックアップの後、送信・通知メール・ファイル添付・拡張子制限をテストする。Webサーバーでディレクトリ一覧表示を無効化し、アップロード領域でPHP/.phar等のスクリプト実行を禁止する。脆弱版の公開期間についてアップロード領域の残存不審ファイル、外部アクセス、不審なアカウント作成や改ざんを確認する。実侵害を断定せず、兆候があればログとファイルを保全して調査する。

情報源

• Contact Form 7開発元公式（2026-10-29、任意ファイルアップロードと6.2.4修正）
• WPScan（CVE-2026-114432、対象6.2～6.2.3、環境別のコード実行条件）
• Patchstack（悪用確認のKEV表示、CVSS 8.1、6.2.4で修正）
• VulnCheck KEV登録の再掲（Vulners、2026-11-08登録。Patchstackの同じ根拠に依存）
• VulnTide（VulnCheck KEV登録日とCISA KEV未登録の区別、CISA Vulnrichment CVSS 9.8）
• Contact Form 7開発元公式（2026-11-10、最新版6.2.5公開と互換性要件）
• CISA KEV公式カタログ（2026-11-10版。現時点で本CVE未登録）

情報確認日時：2026年11月11日 07:07

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。