WORDPRESS SECURITY

Drag and Drop Multiple File Upload for Contact Form 7に未認証RCE（CVE-2026-18781）

High

WordPressプラグイン「Drag and Drop Multiple File Upload for Contact Form 7」の脆弱性情報（CVE-2026-18781）。影響バージョンは1.3.9.9未満。修正版 1.3.9.9 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Drag and Drop Multiple File Upload for Contact Form 7（プラグイン）
CVE: CVE-2026-18781
CVSS / 深刻度: 8.1 / High
影響バージョン: 1.3.9.9未満
修正版: 1.3.9.9
脆弱性種別: 未認証Remote Code Execution / ファイル名検証回避

脆弱性の概要

Drag and Drop Multiple File Upload for Contact Form 7の1.3.9.9未満には、認証されていない攻撃者がファイル名処理の不備を利用してファイル種別制限を回避し、サーバー上で任意コードを実行できるRCE脆弱性があります。WordPress.orgでは60,000以上の有効インストールがあり、公式変更履歴でも1.3.9.9で未認証RCEの修正が明記されています。

技術的な内容

アップロード後に制御文字等を除去した最終ファイル名を再検証しないことが原因で、危険な拡張子を持つファイルを配置できる問題です。WPScanによると、悪用には対象フォームの非デフォルト設定と、ディレクトリ単位の設定上書きを有効に扱うWebサーバー構成が必要です。CVSSは8.1 Highで、現時点で実悪用は確認されていません。

悪用状況

実攻撃は未確認

推奨対応

1.3.9.9以上へ更新してください。影響バージョンでファイルアップロードフォームを公開していた場合は、アップロード先に不審なPHP、PHTML、PHAR等がないか確認してください。Webサーバー側でもアップロードディレクトリでPHP実行を禁止することを推奨します。

情報源

情報確認日時：2026年9月3日 06:44

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。