WordPressのサイト上から、画像やPDFなどのファイルをアップロードしてもらえるプラグイン「Iptanus File Upload」。
2026年10月、このプラグインの5.1.10以前に、ログインしていない第三者から悪用される可能性のあるSQLインジェクションの脆弱性が公表されました。
CVSSスコアは9.3（Critical）と高く、利用している場合は早めの確認をおすすめします。CVE番号はCVE-2026-62071です。
Iptanus File Upload 5.1.10以下にSQLインジェクションの脆弱性
今回確認されたのは、SQLインジェクションと呼ばれる脆弱性です。
外部から不正な命令を送ることで、WordPressが使用しているデータベースの情報へアクセスされる可能性がある問題です。OpenCVEでは、攻撃が成功するとデータベース内の情報を読み取られる可能性があり、ユーザー情報やサイト設定などにも影響する可能性があるとされています。
今回の脆弱性は、WordPressへログインしていない第三者から攻撃できる可能性があります。そのため、Iptanus File Uploadを使用している場合は、現在のバージョンを一度確認しておきましょう。
5.2.0で修正されています
今回の問題はIptanus File Upload 5.2.0で修正されています。
公式の変更履歴にも、「Fixed an SQL injection security issue」と明記されており、アップロードを識別する情報の処理が十分に安全ではなかった問題が修正されています。2026年10月現在、WordPress公式プラグインディレクトリでも最新版は5.2.0となっています。
5.1.10以前を使用している場合は、バックアップを取ったうえで、できるだけ早めに5.2.0へ更新しておきましょう。使用していないプラグインであれば、無効化したまま残しておくのではなく、削除してしまうのも一つの方法です。
Iptanus File Uploadってどんなプラグイン？
Iptanus File Uploadは、WordPressサイトを訪れた人からファイルを送ってもらうためのプラグインです。以前は「WordPress File Upload」という名前で公開されていましたが、バージョン5.0.0から現在の「Iptanus File Upload」に名称が変更されています。
- 求人応募で履歴書を送ってもらう
- 写真コンテストなどで画像を募集する
- PDFや資料を提出してもらう
- お客様からデータを受け取る
といった使い方ができます。
公式でも、求人応募、コンテスト用の写真、署名済みPDFなどを、WordPressのページや投稿から直接送信してもらえるプラグインとして紹介されています。
現在、WordPress公式ディレクトリでは10,000以上のサイトで利用されています。
ログインしていない人からファイルを受け取ることもできます
このプラグインの便利なところは、WordPressのユーザーアカウントを持っていない人からでもファイルを受け取れることです。
初期設定では、ゲストを含む訪問者からのアップロードにも対応しています。必要に応じて、アップロードできるユーザー権限を制限することもできます。
「お問い合わせフォームでは文章しか受け取れないけれど、画像やPDFも送ってほしい」
というサイトでは便利な機能です。
また、有料版ではGoogle Drive、Dropbox、OneDrive、Amazon S3への保存や、大容量ファイル、複数ファイルのアップロードなどにも対応しています。
「File Manager」とは別のプラグインです
名前や用途が少し似ているため注意したいのですが、今回のIptanus File Uploadは、WordPressのサーバー内ファイルを管理する「File Manager」系のプラグインとは別物です。
Iptanus File Uploadは主に、サイトを訪れた人からファイルを受け取るためのものです。「以前ファイルアップロード機能を付けてもらったけれど、何のプラグインを使っているか分からない」という場合は、WordPress管理画面の「プラグイン」一覧から、
Iptanus File Upload
または旧名称の
WordPress File Upload
が入っていないか確認してみてください。
古いバージョンだった場合は、更新後にも確認を
今回の脆弱性について、2026年10月時点ではCISAのKEV（既知の悪用された脆弱性一覧）には掲載されておらず、OpenCVEでも既知の悪用は確認されていません。
とはいえ、CVSS 9.3でログイン不要の脆弱性なので、「まだ悪用されていないから、そのうち更新すればいい」とは考えず、早めに対応しておくのがおすすめです。
更新したあとは、
- ファイルを正常にアップロードできるか
- 正しい保存先に保存されているか
- 通知メールが届くか
- 既存ファイルを表示・ダウンロードできるか
なども確認しておきましょう。
古いバージョンをしばらく公開していた場合は、アクセスログやWordPressのユーザー情報、データベース内に不審な変更がないか確認しておくと、さらに安心です。