Super FormsのCritical任意ファイルアップロード脆弱性で大規模実攻撃確認（CVE-2026-14894）

WordPressプラグイン「Super Forms – Drag & Drop Form Builder」の脆弱性情報（CVE-2026-14894）。影響バージョンは6.3.313以下。修正版 6.3.314 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Super Forms – Drag & Drop Form Builder（プラグイン）

CVE

CVE-2026-14894

CVSS / 深刻度

9.8 / Critical

影響バージョン

6.3.313以下

修正版

6.3.314

脆弱性種別

未認証の任意ファイルアップロード → RCE / サイト乗っ取り

脆弱性の概要

Super FormsのCVE-2026-14894について大規模な実攻撃が確認されました。未認証でPHPバックドア等をアップロードでき、リモートコード実行とサイト完全侵害につながります。Wordfenceは25万件超の悪用試行をブロックしたと報告しています。

技術的な内容

submit_formの未認証AJAX処理でファイル種別検証が不足し、別の未認証エンドポイントから有効なnonceも取得できるため、認証なしの2リクエストで悪用できます。Wordfenceによると攻撃は2026年7月14日から観測され、8月18日〜25日に多数の試行があり、PHPアップローダー／Webシェルの投入が確認されています。

悪用状況

実攻撃を確認

推奨対応

Super Formsを6.3.314以上、可能であれば最新版へ直ちに更新してください。アップロード領域の.php・不審ファイル、未知の管理者、Cron、最近変更されたPHP、super_submit_formへの不審アクセスを確認してください。侵害が疑われる場合は認証情報とWordPress認証キー・saltをローテーションし、バックドアを含む侵害調査を実施してください。

情報源

• GitHub（開発元修正コミット）
• CVE.org（CVE情報・CVSS）
• Wordfence（実攻撃観測・攻撃件数）

情報確認日時：2026年9月8日 06:49

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。