Contact Form 7の機能を拡張するWordPressプラグイン「Extensions For CF7」に、重大な脆弱性が報告されました。バージョン3.4.5以前では、認証されていない第三者が不正なファイルをサーバーへアップロードできるおそれがあります。
Extensions For CF7とは？
Extensions For CF7は、お問い合わせフォーム作成プラグイン「Contact Form 7」に追加機能を提供するプラグインです。送信データの保存、入力内容による表示切り替え、送信後のページ移動、署名入力など、通常のフォームをより便利にする機能が用意されています。
問い合わせ管理や申し込みフォームの機能拡張に利用できます。
WordPress.orgでの有効インストール数は5,000以上です（2026年10月12日確認）。
今回の脆弱性について
今回の問題は、署名フィールドに関連するファイルアップロード処理で、ファイルの種類などを十分に確認していなかったことに起因します。悪用された場合、サーバー上に不正なファイルを置かれ、環境によってはプログラムを実行される危険性があります。
- 脆弱性：CVE-2026-94589
- 深刻度：CVSS 9.8
- 対象：3.4.5以前
- 修正版：3.4.6以降
- 公開日：2026年10月9日
確認と対策
まず、Contact Form 7そのものとは別に「Extensions For CF7」がインストールされているかを確認してください。利用している場合はバージョンを確認し、3.4.6以降へ更新しましょう。
更新前にはサイトのバックアップを取得し、更新後はフォームの送信、データ保存、送信後の画面遷移、署名入力などが正常に動作するか確認することをおすすめします。
まとめ
お問い合わせフォームは外部から入力を受け付けるため、追加機能の安全性にも注意が必要です。
普段使っているフォームにどのプラグインが関係しているのか、定期的に確認しておくと安心です。
公式・関連情報