WORDPRESS SECURITY

Sigma Forms Proに未認証の任意ファイルアップロードからRCE脆弱性（CVE-2026-14494）

Critical

WordPressプラグイン「Sigma Forms Pro – AI Generated Forms」の脆弱性情報（CVE-2026-14494）。影響バージョンは1.4.5以下。修正版 1.4.6 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月5日

対象製品: Sigma Forms Pro – AI Generated Forms（プラグイン）
CVE: CVE-2026-14494
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.4.5以下
修正版: 1.4.6
脆弱性種別: 未認証の任意ファイルアップロード／Remote Code Execution

脆弱性の概要

Sigma Forms Pro 1.4.5以下では、フォーム送信時のファイル検証不備により、未認証攻撃者がPHP等の危険なファイルをアップロードしRCEに至る可能性があります。標準テンプレートの一部でファイル種別制限が未設定のため、初期状態でも悪用条件を満たし得ます。

技術的な内容

handle_form_submission() がフォーム送信処理中に unfiltered_upload 権限を動的に付与し、allowed_file_types が未設定の場合にMIMEタイプ検証を回避できることが原因です。Job Application、Support Ticket、Wholesale Application など複数の標準テンプレートでファイルアップロード欄の種別制限が未設定とされています。WPScanでは1.4.6で修正済みとされています。

悪用状況

実攻撃は未確認

推奨対応

Sigma Forms Proを1.4.6以上、可能であれば最新版へ直ちに更新してください。公開フォームとアップロード先を確認し、不審なPHP・PHTML・PHAR等の実行可能ファイル、未知のファイル変更、フォーム送信履歴を調査してください。

情報源

情報確認日時：2026年9月5日 06:48

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。