Contact Form 7 CVE-2026-114432はCritical―未認証ファイルアップロード、Apacheの設定次第でコード実行
ファイル検証と一時ファイル削除の不備が連鎖。6.2〜6.2.3が対象で、修正版6.2.4は10月29日に公開されています。
WPScan技術報告の公表日（修正版は10月29日）：2026-11-05 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
WPScanは2026年11月5日、WordPress用Contact Form 7の未認証ファイルアップロード問題を公表しました。11月8日UTCに公開されたCVE-2026-114432のCISA ADP評価はCVSS v3.1で9.8、Critical。対象は6.2〜6.2.3で、提供元は10月29日に6.2.4を公開済みです。
ファイル入力欄から送られたファイルの種類・拡張子の検証と、一時ファイルを送信後に消す処理に不備があります。この組み合わせにより、本来拒否されるファイルをサイト上へ残せます。攻撃者にWordPressのアカウントは必要ありません。
WPScanは、ディレクトリ一覧を公開し、.pharをPHPとして処理するDebian・UbuntuのApache構成では、残ったファイルを探してコードを実行できると説明しています。他の構成では任意ファイルの書き込みにとどまる場合がありますが、HTML・SVGが同じサイトのコンテンツとして配信される影響は残ります。すべての導入環境でRCEが成立するわけではありません。
6.2.4では拡張子の許可リスト化やUTF-8処理、一時ファイル削除処理を改善しています。修正版へ更新し、拡張子を独自に追加している場合や内部関数を直接呼んでいる場合は、提供元が示す互換性への影響も確認してください。WPScanはPoC公開を11月19日に予定しており、参照した資料に実際の攻撃被害の記載はありません。
出典と編集について
Contact Form 7 / WPScan：Contact Form 7：6.2.4の修正内容 ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。