WordPressプラグイン「Advanced Form Integration」で、認証を回避してユーザーアカウントの権限を不正に取得されるおそれがある脆弱性が報告されました。2026年10月9日に公開された情報によると、バージョン2.9.0以前が対象で、2.10.0以降では修正されています。
Advanced Form Integrationとは？
Advanced Form Integration（AFI）は、WordPressのフォームや注文情報を外部サービスと連携させるプラグインです。Contact Form 7やWooCommerceなどと連携し、問い合わせ内容をGoogleスプレッドシートに記録したり、顧客情報をCRMへ送信したりできます。
手作業による転記を減らし、問い合わせ管理や営業業務を効率化できる点が特徴です。WordPress.orgによると、2026年10月12日時点の有効インストール数は9,000以上です。
今回の脆弱性について
今回報告されたのは、特定のフォーム連携設定を利用した認証回避・権限昇格の問題です。
Contact Form 7からUltimate Memberのプロフィール情報を更新する連携が特定の方法で設定されている場合、第三者が本来許可されていないアカウント情報の変更を行えるおそれがあります。
管理者アカウントが乗っ取られた場合、サイトの改ざんや不正な操作につながる可能性があります。
ただし、対象バージョンを使用しているすべてのサイトで、無条件に悪用できるわけではありません。
- 脆弱性：CVE-2026-104797
- 対象：2.9.0以前
- 修正版：2.10.0以降
- 公開日：2026年10月9日
確認と対策
WordPress管理画面の「プラグイン」から、Advanced Form Integrationの利用有無とバージョンを確認してください。対象バージョンの場合は、バックアップを取得したうえで修正版へ更新しましょう。特にContact Form 7とUltimate Memberを連携させている場合は、連携設定とユーザーアカウントの状況も確認することをおすすめします。
まとめ
フォーム連携は便利ですが、顧客情報やユーザーアカウントに関係する機能では、セキュリティ上の問題が大きな影響につながることがあります。プラグイン本体だけでなく、どのような連携を設定しているかも含めて管理することが大切です。
公式・関連情報