WORDPRESS SECURITY

Hash Formに未認証の任意ファイルアップロード・RCE脆弱性（CVE-2026-81780）

Critical

WordPressプラグイン「Hash Form – Drag & Drop Form Builder」の脆弱性情報（CVE-2026-81780）。影響バージョンは1.4.2以下。修正版 1.4.3 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月11日

対象製品: Hash Form – Drag & Drop Form Builder（プラグイン）
CVE: CVE-2026-81780
CVSS / 深刻度: 10 / Critical
影響バージョン: 1.4.2以下
修正版: 1.4.3
脆弱性種別: 未認証の任意ファイルアップロード / Remote Code Execution

脆弱性の概要

Hash Form 1.4.2以下には、未認証の攻撃者がファイルアップロード時の許可判定を回避して危険なファイルを保存でき、PHP等が実行可能な環境ではRCEとサイト完全侵害につながるCVSS 10.0のCritical脆弱性があります。

技術的な内容

WordPress.orgの1.4.3変更履歴では、認識されない拡張子だけを指定すると許可リストが空になり、それが無制限として扱われる問題を修正したこと、アップロード時にWordPress側の許可形式と実内容を検査し、拡張子を再確認する対策が追加されたことが明記されています。CNA評価はCVSS 10.0 Criticalで1.4.2以下が影響します。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

1.4.3以上へ直ちに更新してください。可能であれば現在の最新版1.4.4へ更新してください。更新までファイルアップロード機能を停止・制限し、uploads内の不審なPHP/PHTML/PHAR、最近追加された実行可能ファイル、フォーム送信ログ、未知の管理者を確認してください。アップロード領域でPHP実行を禁止することも推奨します。

情報源

情報確認日時：2026年9月11日 06:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。