Contact Form 7 に多数の追加機能を提供するプラグイン「Ultra Addons for Contact Form 7」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.5.54 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、フォームの送信を通じてサイトを構成するファイル（テーマ・プラグイン・画像など）を削除できる可能性があります。
対策として、バージョン 3.5.55 以降への更新を推奨します。
脆弱性詳細
問題があるのは、フォームの送信内容をもとにPDFを作成し、メールに添付する「PDF生成機能（PDF Generator）」です。
この機能を有効にし、PDFを作成する設定のフォームをサイトの公開画面に設置している場合が対象となります。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
ファイルの削除
wp-contentフォルダー（テーマ、プラグイン、アップロードした画像などを格納する場所）配下のファイルやフォルダーが削除される- フォルダー単位で中身ごと削除される可能性がある
削除による影響
- テーマが削除された場合、サイトが正しく表示されなくなる
- プラグインが削除された場合、そのプラグインの機能（セキュリティ対策用のものを含む）が停止する
- 画像などのメディアファイルが消失する
被害発生の条件
- PDF生成機能が有効で、PDFを作成する設定のフォームが公開されていること（PDF生成機能を使用していないサイトは、本脆弱性の影響を受けません）
- 上記のフォームを誰でも送信できる状態であれば、ログインしていない第三者でも、サイト運営者の操作なしに攻撃が可能
技術的な詳細
入力内容がそのままPDFの元データに使われていた
PDF生成機能では、フォームの入力内容をPDFのひな形（HTML）に差し込んでPDFを作成します。このとき入力内容は無害化（エスケープ）されず、そのままPDF作成用ライブラリ（mPDF）に渡されていました。
ライブラリ内部の仕組みが悪用できる状態だった
mPDFは、画像やフォーム部品などの情報を、特殊な目印を付けた文字列として一時的に保持し、後で「デシリアライズ（保存用の形式に変換したデータを、プログラム上のオブジェクトに復元する処理）」によって元に戻します。
入力内容にこの目印を模した文字列を含めることで、攻撃者が用意したデータを復元処理に通すことが可能でした。その際、復元できるオブジェクトの種類が制限されていませんでした。
Contact Form 7本体の後片付け処理と組み合わさる
Contact Form 7本体には、フォーム送信の処理を終える際、一時保存したアップロードファイルを削除する仕組みがあります。
攻撃者は、この後片付け処理を行うオブジェクトに削除させたいファイルの場所を書き込んだうえで復元させることで、処理の終了時にそのファイルやフォルダーを削除させることができました。なお、削除できるのは、原則として wp-content フォルダー配下に限られます。
攻撃の大まかな流れ
- PDF生成が有効なフォームを探す
- 入力欄に、細工した文字列を含めてフォームを送信する
- PDF作成時に細工したデータが復元され、処理の終了時に指定したファイルが削除される
対策版での修正
バージョン 3.5.55 では、復元処理でオブジェクトを生成しないよう制限したうえで、フォームの入力内容をPDFに差し込む前に、目印となる文字列の除去とHTMLの無害化を行うよう修正されました。
あわせて、PDFに読み込む外部ファイルの指定方法の確認強化や、フォームから送信されたファイルの保存処理の見直しなど、関連するセキュリティ強化も行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.5.55 以降）へ更新してください。
- 被害確認
- 管理画面の「プラグイン」「外観 > テーマ」を開き、「プラグインファイルが存在しません」といったエラー表示や、「壊れているテーマ」の表示、一覧から消えているテーマ・プラグインがないか確認してください。
- 「メディア」で、画像が表示されない（壊れた表示になる）ファイルがないか確認してください。
- PDF生成を設定したフォームの送信内容（通知メールや、データベース保存機能を利用している場合はその保存データ）に、「objattr」「WPCF7_Submission」といった通常の入力では使われない英字や、意味をなさない記号の並びを含むものがないか確認してください。
- 更新までの間の緩和策
- すぐに更新できない場合は、フォームの設定でPDF生成機能を一時的に無効にしてください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、細工した文字列を含むフォーム送信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となる更新を優先してください。
- ファイルが削除された場合に備え、サイト全体（ファイルとデータベース）のバックアップを定期的に取得しておくことをおすすめします。
⇒ ファイルの消失や不審な送信内容が確認された場合は、バックアップからの復元を検討するとともに、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Ultra Addons for Contact Form 7 3.5.54 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-102435 
（公開日 2026年11月2日 更新日 2026年11月3日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-102435 悪用確率 0.59% （上位52%） 2026年11月3日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Ultra Addons for Contact Form 7 プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
