Everest Forms Proの未認証RCE脆弱性で実攻撃確認（CVE-2026-3300）

WordPressプラグイン「Everest Forms Pro」の脆弱性情報（CVE-2026-3300）。影響バージョンは1.9.12以下。修正版 1.9.13 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Everest Forms Pro（プラグイン）

CVE

CVE-2026-3300

CVSS / 深刻度

9.8 / Critical

影響バージョン

1.9.12以下

修正版

1.9.13

脆弱性種別

未認証Remote Code Execution / PHP Code Injection

脆弱性の概要

Everest Forms Pro 1.9.12以下には、Complex Calculationを使用するフォームへの入力から任意PHPコードを実行できる未認証RCE脆弱性があります。実際の攻撃が観測されており、攻撃者による不正なAdministrator作成などサイト完全侵害につながるため、早急な対応が必要です。

技術的な内容

Calculation Addonのprocess_filter()がユーザー入力をPHPコード文字列へ連結してeval()へ渡す際、sanitize_text_field()ではPHP構文を十分に無害化できないことが原因です。CVSS 9.8 Critical。開発元公式変更履歴では1.9.13にSecurity issueの修正が記載され、Wordfenceの技術情報でも1.9.13を修正版としています。外部報道ではWordfenceの観測に基づく実攻撃と不正管理者作成が報告されています。

悪用状況

実攻撃を確認

推奨対応

Everest Forms Proを1.9.13以上、可能であれば現行最新版へ即時更新してください。Complex Calculationを使用するフォームがあったサイトでは、不審なAdministrator・ユーザー、最近追加されたPHP/Webシェル、フォーム送信ログ、Web/PHPログ、ファイル改変を確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

• Everest Forms公式変更履歴（開発元・1.9.13 Security issue修正）
• CVE.org（CVE情報・CVSS 9.8）
• Wordfence（技術解析・影響範囲・修正版）
• Infosecurity Magazine（実攻撃観測の報道・Wordfenceテレメトリ参照）

情報確認日時：2026年9月14日 13:04

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。