WordPressのプラグインで、2026年10月から11月にかけて深刻な脆弱性が続けて公開されています。WordPress.orgで1,000万以上のサイトに入っている問い合わせフォームのContact Form 7には、10月29日に修正版の6.2.4が出ました。同じ時期に、WordPress本体の脆弱性が米国CISAの「実際に悪用された脆弱性」の一覧に載り、サイト移行用のプラグインWP Duplicateは修正版がないまま悪用が報告されています。この記事は、11月11日の時点でCVEの記録・開発元の告知・WordPress.orgで確かめた情報だけを使って、自分のサイトが当てはまるかの見分け方と、今日やる手順をまとめたものです。
この記事でわかること
- 今日やること： Contact Form 7を6.2.4以上（11月11日時点の最新は6.2.5）へ、WordPress本体を7.1.4へ。前にバックアップ、後に送信テストをします。
- 当てはまるかの見分け方： Contact Form 7の版、添付欄の有無、6.2より前かどうか、添付のアドオンの有無で決まります。
- 出回っている情報の誤り： 「未ログインで乗っ取り」「CVSS 10.0」、名前の似たプラグイン、いつの話かのずれを一次情報と並べています。
WordPressのサイトを持つ人が今日やる4つのこと
1. 更新の前に、サイトのファイルとデータベースのバックアップを取る
2. Contact Form 7を6.2.4以上（最新は6.2.5）へ、WordPress本体を7.1.4へ更新する
3. 添付欄のあるフォームから実際にファイルを付けて送り、メールに届くかを確かめる
4. WP Duplicateが入っていれば停止して削除し、使っていないプラグインも止めて消す
まず今日やること：Contact Form 7とWordPress本体を最新版へ
Contact Form 7を6.2.4以上へ、WordPress本体を7.1.4へ更新し、その前にバックアップを取ります。
下の表は、11月11日の時点で対応が決まっているものを、今の版ごとに並べたものです。自分のサイトの版は、管理画面の「プラグイン」と「ダッシュボード」→「更新」で確かめられます。
| 対象 | 今の版 | やること | 根拠 |
|---|---|---|---|
| Contact Form 7 | 6.2〜6.2.3 | 6.2.4以上へ更新（最新は6.2.5） | 開発元の告知（10月29日） |
| Contact Form 7 | 6.2.4・6.2.4.1 | 6.2.5へ更新（別の情報漏れ2件の修正） | 開発元の告知（11月10日） |
| Contact Form 7 | 6.1以前 | 今回のファイルアップロードの件は対象外。本体とPHPを上げられるかを確かめる | 6.2のreadme（要件） |
| WordPress本体 | 7.1.3以前 | 7.1.4へ（7.0系は7.0.8、6.9系は6.9.11） | WordPress.org（10月28日） |
| WP Duplicate | 1.1.11以下 | 停止して削除（修正版はない） | WPScan |
| Frontend Admin by DynamiApps | 3.30.1以下 | 3.30.2へ更新 | CVE記録 |
順番は「バックアップ→更新→送信テスト」です。Contact Form 7は6.2.4で添付ファイルの扱いが変わったため、更新したあとに、フォームが今までどおり届くかを確かめるところまでが1セットです。ドイツのWeb専門メディアdrweb.deは、発見者が11月19日に検証用のコードを公開する予定だと報じています（drweb.de、11月8日）。公開されると、まねをした攻撃を試すことが容易になるため、それより前に更新を終えておくのが安全です。
2026年10〜11月に出たWordPressプラグインの脆弱性
急いで直すのは、Contact Form 7、WP Duplicate、Frontend Admin、本体の4件です。
脆弱性は、プログラムの作りの欠陥のために、外から本来できない操作をされてしまう穴のことです。CVEは、その穴に付く世界共通の番号で、CVSSは0〜10で深刻さを表す点数です。下の表は、CVEの記録（cve.org）と開発元・WordPress.orgの情報を突き合わせたものです。
| 名前 | CVE番号 | 影響する版 | 何をされうるか | 修正版 | 悪用の報告（11月11日時点で確かめた範囲） |
|---|---|---|---|---|---|
| Contact Form 7 | CVE-2026-114432 | 6.2〜6.2.3 | ログインなしで添付欄からファイルを置かれる（特定のサーバー構成ではプログラムの実行まで） | 6.2.4（10月29日） | 確認されていない（CISAの11月8日の評価で悪用の証拠なし） |
| WP Duplicate | CVE-2026-123751 | 1.1.11以下 | ログインなしでファイルを書き込まれ、プログラムを実行される | なし（11月9日からWordPress.orgで一時閉鎖） | WPScanが「悪用されている」と記載 |
| Frontend Admin by DynamiApps | CVE-2026-119506 | 3.30.1以下 | 権限を引き上げられる（権限昇格） | 3.30.2（11月1日） | 確認されていない（CISAの11月9日の評価で悪用の証拠なし） |
| WordPress本体 | CVE-2026-119977 | 4.7〜7.1.3 | 本体の更新中に、ログインなしでプログラムを実行される | 7.1.4（10月28日）ほか系列ごと | CISAが既知の悪用の一覧に追加（11月3日） |
Contact Form 7（6.2〜6.2.3）
Contact Form 7の6.2〜6.2.3には、ログインせずに添付欄からファイルを置ける脆弱性があります。
CVEの記録（CVE-2026-114432、11月8日公開、登録元はWPScan）によると、添付ファイルの種類と拡張子を確かめず、一時ファイルの片づけの不具合でファイルがサーバーに残ります。ディレクトリの中身を一覧で見せ、.pharという拡張子をPHPとして動かす標準のDebian・UbuntuのApacheの設定では、置かれたファイルを探し当てて実行でき、プログラムの実行（RCE）に至ります。nginxや、.htaccessが効くApacheでは、アップロード先にファイルが置かれるところまでで、そのファイルがHTMLやSVGとしてサイトから配信されうる、と書かれています。
開発元の告知（Contact Form 7 6.2.4）は、添付欄のあるフォームで、ディレクトリの中身を公開で一覧表示するサーバーに置かれたものが理論上の標的だとしています。発見者はShinya Murakami氏とJakub Herman氏で、WPScan経由で報告されました。深刻さの点数は出所で分かれていて、CISAが付けたCVSSは9.8、Patchstackは保存先のフォルダ名が推測しにくいことから攻撃の難しさを高く見て8.1です。6.2.0の公開は10月5日なので、影響があったのはそこから10月29日までに6.2系へ上げたサイトです。
11月10日の6.2.5では、非公開の投稿の内容やユーザーの情報がメールタグなどから漏れる別の2件が直りました。開発元は「危険度は高くないが、セキュリティに関わるので早めの更新を」と書いています（Contact Form 7 6.2.5）。
WP Duplicate（修正版なし）
WP Duplicateの1.1.11以下は、ログインなしでファイルを書き込まれる脆弱性があり、修正版は出ていません。
WPScanの記録（CVE-2026-123751、11月6日公開）は、リクエストの認証の値を正しく確かめず、アップロードするファイルの場所と種類も確かめないため、ログインしていない攻撃者がサーバーに任意のファイルを書いてプログラムを実行できる、としています。同じ記録に「この脆弱性は実際に悪用されている」「修正は知られていない」とあります。CISAが付けたCVSSは9.8です。
WordPress.orgのプラグインのページは、11月9日から「一時的・全面的な審査待ち」として閉鎖され、ダウンロードできません。これとは別に、購読者以上の権限でファイルを上げられるCVE-2026-39755（1.1.11以下、10月6日公開）もあります。WP Duplicateは旧名を「Local Sync」といい、プラグイン一覧では「WP Duplicate – WordPress Migration Plugin」と表示されます。サイトの引っ越しのときに入れて、そのまま残っていることがあるプラグインです。
Frontend Admin by DynamiApps
Frontend Admin by DynamiAppsの3.30.1以下には権限昇格の脆弱性があり、3.30.2で直っています。
CVE-2026-119506（11月9日公開、登録元はPatchstack）で、Patchstackの評価ではCVSS 9.1です。このプラグインは、ログインした利用者がサイトの表側から投稿や登録をするためのもので、WordPress.orgの更新履歴では、3.30.2（11月1日）で「許可した種類がなくてもファイルを受け付けていた」不具合や、公開の登録フォームから編集権限のある役割を与えられる問題を直したと書かれています。Patchstackの一覧には、10月だけでSQLインジェクションや権限昇格など5件が載っています。
WordPress本体（7.1.3以前）
WordPress本体の7.1.3以前には、更新している間にプログラムを実行される脆弱性があり、悪用も確認されています。
CVE-2026-119977（登録元はWordfence、WordfenceのCVSSは8.1）は、本体を丸ごと更新するときに使う作業用の場所が予測でき、ログインしていない攻撃者が更新の最中にプログラムを実行できる、というものです。CISAは11月3日に「既知の悪用された脆弱性」の一覧へ加えました。WordPress.orgは10月28日のWordPress 7.1.4をセキュリティリリースとして出し、直ちに更新するよう勧めています。古い系列にも修正版があり、7.0系は7.0.8、6.9系は6.9.11が最新です。
本体はプラグインではありませんが、同じ「更新」の画面で同時に直せるので、今日の作業に入れます。サーバーのPHPの脆弱性はまた別の話で、こちらはPHPの脆弱性でWordPressが受ける影響と、確かめる3つのことにまとめています。
自分のサイトが当てはまるかの見分け方
管理画面の「プラグイン」で名前と版を見て、Contact Form 7なら添付欄があるかまで確かめれば判定できます。
| 確かめること | 見る場所 | 判定 |
|---|---|---|
| Contact Form 7の版 | 「プラグイン」→「インストール済みプラグイン」のContact Form 7の行 | 6.2〜6.2.3なら当てはまる |
| 添付欄があるか | 「お問い合わせ」→各フォームの編集画面 | 角かっこで囲んだ file のタグがあれば標的の条件に当たる |
| 本体とPHPの版 | 「ダッシュボード」→「更新」、「ツール」→「サイトヘルス」→「情報」 | 本体7.1未満かPHP 8.3未満なら6.2系は入らない |
| 添付のアドオン | プラグイン一覧の「Drag and Drop Multiple File Upload for Contact Form 7」 | 入っていれば最新の1.4.1へ |
| WP Duplicate・Frontend Admin | プラグイン一覧 | 入っていれば表1のとおり |
Contact Form 7の版を見る
プラグイン一覧のContact Form 7の行に出る版が6.2〜6.2.3なら、今回のファイルアップロードの件に当てはまります。
「プラグイン」→「インストール済みプラグイン」を開くと、各プラグインの説明の下に「バージョン 6.2.3」のように出ます。更新があるときは、その行に「新しいバージョンの Contact Form 7 が利用可能です」と表示されます。複数のサイトを持っている場合は、サイトごとに確かめてください。
添付欄があるフォームか
フォームの編集画面に、角かっこで囲んだ file のタグがあれば、開発元が標的になりうるとした添付欄つきのフォームです。
「お問い合わせ」→「コンタクトフォーム」で、フォームを1つずつ開きます。採用の応募、見積もりの依頼、写真を送ってもらう相談などのフォームに添付欄が入っていることがあります。開発元が挙げたもう1つの条件「ディレクトリの中身を公開で一覧表示するサーバー」は、管理画面からは分かりません。分からないときは、条件に当たるものとして更新を急いでください。
6.2〜6.2.3を使っていた期間に添付欄があった場合は、サーバーのファイルマネージャーやFTPで wp-content/uploads/wpcf7_uploads/ の中を開き、見覚えのない .php・.phar・.pht などのファイルがないかも見ておきます。Patchstackは、この脆弱性で置かれたファイルがこのフォルダの下に残り、6.2の拡張子の禁止リストが .phar・.pht・.phps・.htaccess を漏らしていたと書いています（Patchstack）。
6.2より前なら今回の件は対象外
6.2系は本体7.1以上・PHP 8.3以上でしか入らないため、6.1以前のサイトは今回の件に当てはまりません。
6.2のreadmeには「WordPress 7.1以上」「PHP 8.3以上」と書かれていて、ひとつ前の6.1.1は本体6.7以上・PHP 7.4以上でした。本体やPHPが古いサイトでは更新の通知が出ず、6.1以前のまま止まっています。今回のファイルアップロードの件は6.2〜6.2.3だけの不具合なので、このサイトは対象外です。
ただし、開発元は今回の強化をすべての版に効くものとして、全利用者に6.2.4以上を勧めています。止まっている理由が本体やPHPの古さなら、それ自体が別の脆弱性を抱えたままの状態です。本体とPHPを上げる順番を決めてから、Contact Form 7を上げてください。
添付のアドオンを入れているか
添付をドラッグで送れるアドオンは本体とは別物で、2026年3〜4月に3件の脆弱性が出ています。
名前は「Drag and Drop Multiple File Upload for Contact Form 7」です。添付欄を「ドラッグして複数のファイルを送れる」形にするアドオンで、WordPress.orgでは6万以上のサイトで使われています。3月と4月に、ログインなしで任意のファイルを上げられる件や、サーバーの中のファイルを読み出される件（CVE-2026-5718など）が公開され、その後の版で直されました。10月30日に出た最新の1.4.1にも検証の強化が入っています。Contact Form 7本体を上げても、こちらは別に更新が要ります。
今日やる手順（WordPressのセキュリティ対策）
バックアップ、更新、送信テスト、不要なプラグインの削除、管理者の見直し、WAFの順に進めます。
更新の前にバックアップを取る
更新の前に、サイトのファイルとデータベースを丸ごと保存し、元に戻せる状態にしておきます。
レンタルサーバーの自動バックアップがあれば、復元できる日付と手順を先に確かめます。なければ、バックアップ用のプラグインかサーバーの管理画面から、ファイルとデータベースの両方を書き出します。当社がサイトの保守で更新するときも、先にバックアップを取ってから進めています。今回のContact Form 7は添付の扱いが変わるので、更新後にフォームの動きが変わったときに戻せることが大事です。
プラグインと本体を更新する
管理画面の「ダッシュボード」→「更新」で、本体とプラグインをまとめて最新にします。
- 「ダッシュボード」→「更新」を開き、WordPress本体に「今すぐ更新」が出ていれば押して7.1.4にする
- 同じ画面の「プラグイン」の欄で、Contact Form 7など更新が出ているものにチェックを入れて「プラグインを更新」を押す
- 「プラグイン」の一覧で、Contact Form 7が6.2.5（少なくとも6.2.4）になったことを確かめる
WordPress.orgの7.1.4の告知には、自動の更新に対応したサイトでは更新が自動で始まるとあります。自動になっていても、版の数字は自分の目で確かめてください。
更新後にフォームを送ってみる
更新したら、添付欄のあるフォームから実際にファイルを付けて送り、メールに届くかを確かめます。
送るファイルは、利用者がふだん送ってくる種類にします。画像とPDFは許可リストに入っているので拡張子は変わりませんが、WordやExcel、zipは拡張子が変えられて届きます。メールの容量の上限などで届かないこともあるので、実際に受け取れるかまで見ます。届いたファイルの名前が変わっていたら、次の章の手順で許可する拡張子を足します。添付欄のないフォームも1回送って、自動返信と管理者あてのメールが届くかを見ておくと安心です。
使っていないプラグインを止めて消す
WP Duplicateは修正版がないため、入っていれば停止して削除します。使っていないプラグインも同じです。
プラグインは「停止」だけでは、ファイルがサーバーに残ります。一覧で「停止」を押したあと、表示される「削除」まで進めてください。WP Duplicateは11月9日からWordPress.orgで閉鎖されていて、更新の通知も来ません。引っ越しに使う場面があっても、今は入れないほうが安全です。使っていないプラグインを減らす考え方と、外部のサービスに渡した鍵の点検は、WordPressプラグインのセキュリティを確かめる手順にまとめています。
管理者アカウントと入り込まれていないかを見直す
「ユーザー」の一覧に見覚えのない管理者がいないかを見て、いれば乗っ取りを疑って調べます。
「ユーザー」→「ユーザー一覧」を「権限グループ：管理者」で絞り、知らない名前や最近作られたアカウントがないかを見ます。辞めた人や制作会社のアカウントが残っていれば、権限を下げるか削除します。管理者のパスワードは使い回しをやめて長いものに替え、2段階認証を入れます。乗っ取りがどういう順番で来るかと、入り込まれていないかの点検表は、WordPress乗っ取りの手口と点検の記録で、実際に届いた攻撃をもとに書いています。
WAF・セキュリティプラグインを入れる
修正版が出るまでの穴を埋めるために、サーバーのWAFやセキュリティプラグインを有効にしておきます。
WAF（Webアプリケーションファイアウォール）は、攻撃に使われる形のリクエストを手前で止める仕組みで、レンタルサーバーによっては管理画面から有効にできます。WordPressのプラグインでは、WordfenceやPatchstackなどが、脆弱性ごとの防ぎ方の決まりを配っています。ただし、WAFは更新の代わりにはなりません。WP Duplicateのように修正版のないものは、WAFがあっても削除が先です。
更新後に添付ファイルが届かないとき（Contact Form 7のファイル添付）
6.2.4から、許可された拡張子以外の添付は名前が変わって届くため、Word・Excel・zipは許可を足します。
| 種類 | 拡張子の例 | 6.2.4以降の扱い |
|---|---|---|
| 画像 | jpg・jpeg・png・gif・webp・heic・bmp・tiff | そのまま届く |
| PDF・テキスト | pdf・txt | そのまま届く |
| 音声・動画 | mp3・m4a・wav・mp4・mov・webm | そのまま届く |
| Office・圧縮ファイル | docx・xlsx・pptx・zip など | 拡張子が安全な形に変えられる（許可を足すまで） |
Word・Excel・zipは名前が変わって届く
開発元によると、許可リストにない拡張子のファイルは、実行されない安全な形に自動で名前を変えられます。
6.2.4の告知の「副作用」の節には、実行できるファイルかどうかで名前を整える仕組みを、禁止する拡張子のリストから、許可する拡張子のリストに切り替えたとあります。許可リストに入っているのは、音声・動画・画像の拡張子と、pdf・txtです。採用の応募で履歴書のWordを受け取る、見積もりの依頼でExcelを受け取る、といったフォームは、更新後に届いたファイルの拡張子が変わり、そのままでは開けなくなります。
許可する拡張子を足す
wpcf7_file_extension_safelist というフィルターで、受け付けたい拡張子だけを許可リストに足します。
子テーマのfunctions.phpか、コードを足すためのプラグインに、次のように書きます。開発元の告知の例はzipを足すもので、下はWordとExcelを足す形です。
add_filter( 'wpcf7_file_extension_safelist', function ( $safelist ) {
return array_merge( $safelist, [ 'docx', 'xlsx' ] );
} );足すのは、そのフォームで本当に受け取る拡張子だけにします。zipのように中身が見えない形式は、受け取る必要がなければ足さないほうが安全です。独自のコードで wpcf7_unship_uploaded_file() を呼んでいる場合は、6.2.4で引数が変わったので書き直しが要ると開発元は書いています。書いた覚えがなければ気にしなくて大丈夫です。
AIやSNSで出回っている情報の誤り
出回っている情報には、悪用の有無・CVSSの値・プラグインの名前・時期の取り違えが混じっています。
下の表の左の列は、当社がGrokで10月下旬から11月11日までのXの投稿を集めて拾った言い方です。言い方そのものを事実として扱ってはいません。確かめた中身は、すべて右の2列の一次情報によります。
| 出回っている言い方 | 一次情報で確かめたこと | 出典 |
|---|---|---|
| 「Contact Form 7は未ログインで乗っ取られる」 | ログインなしでファイルを置けるのは事実。プログラムの実行まで至るのは標準のDebian・UbuntuのApache構成など。悪用は11月11日時点で確認されていない（CISAの11月8日の評価で証拠なし） | CVE記録 |
| 「CVSS 10.0」 | Contact Form 7は9.8（CISA）と8.1（Patchstack）。WP Duplicateは9.8（CISA）、別件のCVE-2026-39755がPatchstackで9.9。10.0は見当たらない | Patchstack・CVE記録 |
| 「AI Engineで未認証の管理者作成（今月の件）」 | CVE-2026-15988は8月1日の公開で、3.6.6で直っている。ログイン中の管理者が細工したリンクを開くことが条件 | CVE記録 |
| 「WP DuplicateはWordPress.orgから削除された」 | 11月9日からの一時閉鎖（全面審査待ち）で、削除ではない | WordPress.org |
| 「Contact Form 7の最新は6.2.4.1」 | 11月10日に6.2.5が出ている。6.2.4.1は部品の更新で、セキュリティ修正とは書かれていない | GitHubのリリース |
「未ログインで乗っ取られる」
ログインなしでファイルを置けるのは事実ですが、乗っ取りに当たるプログラムの実行は特定のサーバー構成に限られます。
Contact Form 7の件で、プログラムの実行まで書かれているのは、ディレクトリの一覧を見せ、.pharをPHPとして動かす標準のDebian・UbuntuのApacheの設定です。それ以外では、ファイルが置かれるところまでです。それでも、置かれたHTMLやSVGが自分のサイトの住所から配信されれば、偽のページや悪いスクリプトの入り口に使われえます。「乗っ取られないなら放っておいてよい」ではなく、更新が必要なことは変わりません。AI EngineのCVE-2026-15988も「未認証」と書かれることがありますが、成立するのはログイン中の管理者が細工したリンクを開いたときです。
「CVSS 10.0」
Contact Form 7の深刻さの点数は出所で9.8と8.1に分かれ、10.0という値は一次情報に見当たりません。
CVSSは、同じ脆弱性でも付ける組織によって点数が変わります。CISAはContact Form 7の件を「攻撃は難しくない」として9.8にし、Patchstackは保存先のフォルダ名を当てるのが難しいとして8.1にしました。WP Duplicateも、未認証の件はCISAが9.8、購読者以上の別件はPatchstackが9.9です。点数だけで急ぐかどうかを決めず、「自分の版が当てはまるか」「修正版があるか」「悪用が報告されているか」の3つで決めるほうが確かです。
名前の似たプラグインとの取り違え
Contact Form 7本体とアドオン、WP DuplicateとDuplicatorは、それぞれ別のプラグインです。
Contact Form 7には、名前に「for Contact Form 7」が付くアドオンがたくさんあります（Drag and Drop Multiple File Upload、Redirection for Contact Form 7、Contact Form 7 Dynamic Text Extensionなど）。アドオンの脆弱性は本体を更新しても直らず、本体の脆弱性もアドオンの更新では直らないので、プラグイン一覧の「作者」の欄まで見て、どのプラグインの話かを確かめます。Contact Form 7本体の作者は「Rock Lobster Inc.」、WP Duplicateの作者は「revmakx」です。サイト移行用の「Duplicator」や、ページを複製する「WP Duplicate Page」は名前が似ていますが、今回のWP Duplicateの件とは別物です。
いつの話かのずれ
Contact Form 7の修正版は10月29日に出ていて、11月に入って公開されたのはCVEの記録や解説のほうです。
| 日付 | 出来事 | 出典 |
|---|---|---|
| 10月5日 | Contact Form 7 6.2.0公開（ここから6.2.3までが影響） | GitHub |
| 10月28日 | WordPress 7.1.4（本体のセキュリティリリース） | WordPress.org |
| 10月29日 | Contact Form 7 6.2.4（修正版）と6.2.4.1 | 開発元 |
| 11月3日 | 本体のCVE-2026-119977がCISAの既知の悪用の一覧へ | CISA |
| 11月6日 | WPScanがWP Duplicateの未認証の件を公開（悪用ありと記載） | WPScan |
| 11月8日 | Contact Form 7のCVE-2026-114432が公開 | CVE記録 |
| 11月9日 | WP DuplicateがWordPress.orgで一時閉鎖 | WordPress.org |
| 11月10日 | Contact Form 7 6.2.5（別の2件の修正） | 開発元 |
「11月に見つかった」と書かれた記事を読むと、まだ修正版がないように感じますが、Contact Form 7は10月29日から直せる状態です。逆に、AI Engineの件は8月、Drag and Drop Multiple File Uploadの件は3〜4月の公開で、どちらも今月の新しい件ではありません。読んだ情報には、日付と、CVE番号・開発元の告知のどちらかが付いているかを見てください。
更新を自分で続けるか、保守を任せるか
更新と送信テストを毎月続けられるなら自分で、続けられないなら保守を任せるのが確実です。
Contact Form 7は、10月5日の6.2.0から11月10日の6.2.5まで、約5週間で7回の版を出しています（GitHubのリリース）。そのたびに中身を読んで、バックアップを取り、更新し、フォームを送って確かめるのが、今回のような件に間に合わせる基本の形です。WP Duplicateのように修正版が出ないものは、入っていることに気づいて消すところまでが作業になります。
当社の事例では、引き継いだサイトに、何年も更新されていないプラグインや、引っ越しのときに入れたまま残ったプラグインが見つかることがあります。誰がいつ更新しているのか分からない状態なら、一度プラグインの一覧と版を書き出すところから始めてください。
よくある質問
Q. 事情があってContact Form 7をすぐに更新できないときは、どうすればよいですか。
A. 更新できるまでの間は、6.2〜6.2.3のフォームから添付欄のタグ（角かっこで囲んだ file のタグ）を外しておく方法があります。開発元が標的になりうるとしたのは添付欄のあるフォームなので、その条件から外れます。外したことはフォームの案内文に書き、添付が要る相手にはメールで送ってもらいます。あわせてサーバーのWAFを有効にし、更新できたら添付欄を戻します。drweb.deは発見者が11月19日に検証用のコードを公開する予定だと報じているので、外すならそれより前にしてください。
Q. サーバーがnginxなら、Contact Form 7を更新しなくてもよいですか。
A. いいえ、更新が必要です。CVEの記録では、nginxや.htaccessが効くApacheでも、ログインなしでアップロード先にファイルを置かれるところまでは起きます。置かれたHTMLやSVGが自分のサイトの住所から配信されうるとも書かれています。プログラムの実行まで進まないだけなので、サーバーの種類にかかわらず6.2.4以上（できれば6.2.5）へ上げてください。
Q. プラグインの自動更新を入れておけば、今回の対応は済みますか。
A. 自動更新で版は上がりますが、バックアップと送信テストまではしてくれません。Contact Form 7は6.2.4で添付の扱いが変わったので、自動で上がったあとにWordやExcelの添付が届かなくなっていることがあります。自動更新を使っている場合も、版の数字と、フォームから届くメールを1回確かめてください。
Q. 6.2.4に上げたらフォームの添付が開けなくなりました。6.2.3に戻してもよいですか。
A. 戻すと今回の脆弱性が残るので、戻さずに許可する拡張子を足してください。wpcf7_file_extension_safelist というフィルターに、受け取りたい拡張子（docx・xlsxなど）だけを足せば、元の名前で届くようになります。コードを書く場所が分からない場合は、制作会社や保守の担当に、この記事の「許可する拡張子を足す」を見せて頼むのが早いです。
Q. WP Duplicateの代わりに、サイトの引っ越しはどうすればよいですか。
A. WP Duplicateは修正版がなく、WordPress.orgでも閉鎖中なので使わないでください。レンタルサーバーによっては、WordPressの移行の機能が用意されています。移行用のプラグインを使う場合は、更新が続いているものを選び、引っ越しが終わったら停止して削除します。入れたまま残すと、今回のように後から穴が見つかったときに狙われます。
Q. すでに入り込まれているかもしれないときは、何から見ればよいですか。
A. まず「ユーザー」の一覧に見覚えのない管理者がいないか、wp-content/uploads/wpcf7_uploads/ に .php や .phar などのファイルがないかを見ます。見つかったら、管理者のパスワードを替え、更新前に取ったバックアップと比べて、いつから入られていたかを調べます。点検の順番は、当社の「WordPress乗っ取りの手口と点検の記録」の点検表が使えます。自分で判断できない場合は、サイトを触る前に保守の担当や当社に相談してください。
まとめ
今日やることは、バックアップを取ってから更新し、フォームを送って確かめることです。
- Contact Form 7： 6.2〜6.2.3が当てはまります。6.2.4以上、できれば11月10日の6.2.5へ上げます。6.1以前は今回の件の対象外ですが、本体とPHPの古さを見直します。
- WordPress本体： 7.1.3以前の脆弱性はCISAが悪用を確認しています。7.1.4（7.0系は7.0.8、6.9系は6.9.11）へ上げます。
- WP Duplicate： 修正版がなく、WPScanは悪用ありと書いています。入っていれば停止して削除します。
- 更新のあと： 添付欄のあるフォームから送って確かめます。WordやExcelが変わって届くなら、許可する拡張子を足します。
- 出回る情報： 「CVSS 10.0」や「未ログインで即乗っ取り」は一次情報と合いません。日付とCVE番号、開発元の告知で確かめます。
脆弱性は、修正版が出た日から、直したサイトと直していないサイトに分かれます。プラグインの一覧と版を書き出し、誰がいつ更新するかを決めておけば、次の件にも同じ手順で間に合います。
参考情報
- Contact Form 7「Contact Form 7 6.2.4」（2026年10月29日）
- Contact Form 7「Contact Form 7 6.2.5」（2026年11月10日）
- GitHub「rocklobster-in/contact-form-7 Releases」
- WordPress.org「Contact Form 7」・「Contact Form 7 6.2 readme.txt」
- CVE「CVE-2026-114432」（2026年11月8日）
- Patchstack「Contact Form 7 <= 6.2.3 - Unauthenticated Arbitrary File Upload」
- WPScan「Contact Form 7 6.2 – 6.2.3 – Unauthenticated Arbitrary File Upload via Invalid UTF-8 Filename」
- WordPress.org「WordPress 7.1.4」（2026年10月28日）
- CVE「CVE-2026-119977」・CISA「Known Exploited Vulnerabilities Catalog」
- WPScan「WP Duplicate <= 1.1.11 - Unauthenticated Arbitrary File Upload via Authentication Bypass」（2026年11月6日）
- CVE「CVE-2026-123751」・「CVE-2026-39755」
- WordPress.org「WP Duplicate – WordPress Migration Plugin」
- CVE「CVE-2026-119506」・WordPress.org「Frontend Admin by DynamiApps」・Patchstack「Frontend Admin by DynamiApps」
- CVE「CVE-2026-15988」（AI Engine、2026年8月1日）
- CVE「CVE-2026-5718」・WordPress.org「Drag and Drop Multiple File Upload for Contact Form 7」
- drweb.de「Contact Form 7: Sicherheitslücke beim Datei-Upload」（2026年11月8日）
