Gravity FormsのCVE-2026-103039はCritical―PHPオブジェクト注入を3.1.3で修正
CVSS 9.8。3.1.2以前の特定の投稿フィールドが対象です。未認証の入力からPHPオブジェクトを生成でき、追加の条件がそろうとコード実行につながります。
CVEレコード公開日（開示記録は10月29日UTC）：2026-10-30 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
2026年10月30日、Gravity FormsのCVE-2026-103039がCVEレコードとして公開されました。Wordfenceの評価はCritical（緊急）、CVSS v3.1は9.8です。影響するのは3.1.2以前で、Patchstackは修正版を3.1.3と案内しています。修正自体は新着ではなく、公式変更履歴の3.1.3は10月1日付です。
問題は、入力形式がListのPost Custom Fieldで、投稿作成処理が制限のないmaybe_unserialize()を呼ぶ点です。コンテンツテンプレートを有効にしたフィールドでは、未認証の送信値からPHPオブジェクトを生成できると説明されています。
プラグイン単体にはコード実行までつなぐ処理の連鎖がなく、別のプラグインやテーマの組み合わせなどが影響します。特定のメタキーへの割り当てとPEAR・PHP設定の条件がそろう場合の経路も示されています。導入サイトのすべてが無条件にコード実行される、という説明は正確ではありません。
管理者は対象フィールドの設定を調べ、3.1.3以降のサポート対象版へ更新します。プラグイン一覧の版番号に加え、投稿を作るフォームの送信・保存を確認してください。確認したCVEレコードには実悪用の記載はなく、Criticalという評価と攻撃確認済みかどうかは別です。
出典と編集について
Wordfence / CVE Program：CVE-2026-103039 ↗Patchstack：Gravity Formsの影響版と修正版 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。