WordPressのページ作成プラグインとして広く利用されている「Elementor」。
専門的な知識がなくても、画面を見ながらページを組み立てられる便利なプラグインで、WordPressサイトで見かける機会も多いものです。
そんなElementorについて、2026年9月25日に脆弱性情報が公開されています。該当するバージョンを利用している場合は、早めにアップデートしておきましょう。
Elementor 4.3.0・4.3.1に脆弱性
今回確認されているのは、Elementor Website Builder 4.3.0～4.3.1に存在するCSRF（クロスサイト・リクエスト・フォージェリ）の脆弱性です。
CVSSスコアは8.8。
WordPressにログインしている管理者などが、攻撃者によって細工されたリンクを開くことで、本人が意図していない操作を実行させられる可能性があります。
Patchstackによると、管理者が細工されたリンクを開いた場合、その管理者に許可されているREST APIの操作を実行させられる可能性があり、通常のWordPress環境では新しい管理者アカウントを作成されるケースも想定されています。
すでに悪用が確認されている脆弱性として掲載されています。
4.3.2以降へアップデート
この問題はElementor 4.3.2で修正されています。
Elementorの変更履歴でも、4.3.2ではデータ処理に関するセキュリティ強化が行われたことが記載されています。Elementor 4.3.0または4.3.1を利用している場合は、バックアップを取ったうえで、できるだけ早く修正版以降へアップデートしておきましょう。
現在さらに新しいバージョンが公開されている場合は、互換性などを確認したうえで最新の安定版へ更新するのがおすすめです。
更新後は、
- トップページや主要ページが正常に表示されるか
- Elementorの編集画面が開くか
- レイアウトが崩れていないか
- Elementor Proを使用している場合は正常に連携しているか
なども確認しておくと安心です。
Elementorってどんなプラグイン？
Elementorは、WordPressのページを画面上で確認しながら作成できる「ページビルダー」と呼ばれるプラグイン。文章や画像、ボタン、見出しなどを配置しながらページを作ることができるため、WordPressの制作現場でも広く使われています。Patchstackのデータでは、Elementor Website Builderは1,000万インストールとされており、非常に多くのサイトで利用されています。
コードを書かなくても比較的自由にレイアウトを作ることができるので、「このページ、なんだか普通のWordPressより自由に作られているな」というサイトではElementorが使われていることもあります。
非常に便利な分、これだけ多く利用されているプラグインですから、脆弱性が見つかった場合には利用しているサイトも多くなります。
Elementor Proを利用している場合は、もう一つ確認を
そして今回は、Elementor本体とは別に、有料版の追加プラグイン「Elementor Pro」についても確認しておきたい脆弱性があります。
こちらは2026年8月19日に公開されたもので、Elementor Pro 4.2.1以前が影響を受けます。
Elementor Proのフォーム機能で「File Upload」を使用している公開フォームがある場合、ログインしていない第三者からPHPファイルなどをアップロードされ、条件がそろうとサイト上でコードを実行される可能性があります。
CVSSスコアは9.0。
Patchstackでは悪用が確認された脆弱性として扱われており、Elementor本体の今回の問題とは別件ですが、こちらも重要度の高いものです。
Elementor Proは4.2.2以降へ
Elementor Pro側の問題は、4.2.2で修正されています。Elementor公式の変更履歴でも、4.2.2でForm widgetに関するセキュリティ強化が記載されています。Elementor Proを利用している場合は、こちらも現在のバージョンを確認しておきましょう。
特に、お問い合わせフォームや応募フォームなどで、利用者が画像やPDFなどのファイルを添付できるようになっているサイトでは確認をおすすめします。
Elementor Proを使用していないサイトや、公開フォームにFile Upload機能がないサイトについては、この脆弱性と同じ条件では影響を受けません。
古いバージョンを使っていた場合は、更新だけで終わらせず確認を
Elementor Pro 4.2.1以前を使用し、ファイルアップロード機能のあるフォームを公開していた場合は、最新版への更新だけでなく、一度サイト内を確認しておくと安心です。
Patchstackでは、「/wp-content/uploads/elementor/forms/」に不審なPHPファイルなどが存在しないか確認することを案内しています。今回の脆弱性では、攻撃に成功するとファイルがサーバー上に残る可能性があります。必要に応じてアクセスログや管理者アカウント、不審なファイルの有無なども確認しておきましょう。
Elementorは便利。だからこそ更新を忘れずに
Elementorは、WordPressで自由度の高いページを作ることができる、とても便利なプラグインです。
今回脆弱性が見つかったからといって、Elementorは利用を止める必要はありません。多くの人に利用されているWordPressやプラグインでは、脆弱性が発見されることがあります。そして問題が見つかれば、開発元から修正版も公開されます。
大切なのは、古いバージョンのまま長期間放置しないこと。
ElementorやElementor Proを利用している場合は、一度WordPressの管理画面から現在のバージョンを確認してみてください。該当するバージョンだった場合は、バックアップを取ったうえでできるだけ早くアップデートする。そして更新後に、ページの表示やElementorの編集画面、フォームなどが正常に動いているか確認する。
便利なプラグインを便利に使い続けるためにも、アップデートは忘れずに行っておきましょう。