Elementor ProのCritical任意ファイルアップロード脆弱性で実攻撃確認（CVE-2026-32475）

WordPressプラグイン「Elementor Pro」の脆弱性情報（CVE-2026-32475）。影響バージョンは4.2.1以下。修正版 4.2.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Elementor Pro（プラグイン）

CVE

CVE-2026-32475

CVSS / 深刻度

9.8 / Critical

影響バージョン

4.2.1以下

修正版

4.2.2

脆弱性種別

未認証の任意ファイルアップロード → RCE / サイト乗っ取り

脆弱性の概要

Elementor ProのCVE-2026-32475について大規模な実攻撃が確認されました。未認証の攻撃者が実行可能なPHPファイルをアップロードでき、リモートコード実行からサイト完全侵害につながります。Wordfenceは19万件超の悪用試行をブロックしたと報告しています。

技術的な内容

Elementor Pro Formウィジェットで必須ではないFile Uploadフィールドが公開ページに存在するサイトが対象です。検証処理の不備によりファイル種別チェックを回避できます。Wordfenceによると攻撃は2026年8月19日の公開当日から始まり、8月19日〜23日に特に多数観測されました。成功時は/wp-content/uploads/elementor/forms/配下に実行可能PHPが配置されます。

悪用状況

実攻撃を確認

推奨対応

Elementor Proを4.2.2以上、可能であれば最新版へ直ちに更新してください。/wp-content/uploads/elementor/forms/内の.phpや不審ファイル、admin-ajax.phpへのelementor_pro_forms_send_formリクエスト、未知の管理者、Cron、変更されたPHPを確認してください。侵害が疑われる場合は認証情報とWordPress認証キー・saltをローテーションし、既知の正常状態から復旧してください。

情報源

• CVE.org（CVE情報・影響範囲）
• Wordfence（実攻撃観測・攻撃件数）
• Patchstack（技術解析・修正版情報）

情報確認日時：2026年9月8日 06:49

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。