カスタムフィールドを管理するプラグイン「Advanced Custom Fields（ACF）」の機能を拡張する「Advanced Custom Fields: Extended」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 0.9.2.6 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトの公開画面に設置したフォームを通じて、送信者本人以外のアカウントのパスワードが書き換えられる可能性があります。管理者アカウントが対象になった場合は、そのアカウントでログインされるおそれがあります。
対策として、バージョン 0.9.2.7 以降への更新を推奨します。
脆弱性詳細
問題があるのは、このプラグインの「Forms」機能（サイトの公開画面に入力フォームを設置する機能）で作成したフォームのうち、既存ユーザーの情報を更新する動作（Update User アクション）です。
対象となるのは、このアクションを含むフォームをサイトの公開画面に設置している場合で、更新の対象になったアカウントの利用者に影響が及びます。攻撃はフォームの送信を通じて行われ、サイト運営者の操作は必要ありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 更新対象となったアカウントのパスワードが書き換えられ、そのアカウントでログインされる
- パスワードのほか、メールアドレス・ユーザー名・表示名など、フォームで扱える項目が書き換えられる
- 管理者権限のアカウントが対象になった場合、記事の作成・改ざん、プラグインやユーザーの追加など、管理画面で行える操作が可能になる
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- 「Forms」機能で作成したフォームを、サイトの公開画面に設置している
- そのフォームに、既存ユーザーの情報を更新するアクションが設定されている
- 更新対象の指定が「現在のユーザー（送信者本人）」以外になっている
- 特定のユーザーを固定で指定している
- フォームの入力内容から決まるように設定している
- パスワードなど、書き換えの対象となる項目がフォームの入力項目と結び付けられている
条件を満たすフォームを誰でも開ける状態で公開している場合、ログインしていない第三者でも送信できます。
なお、更新対象の指定は、フォーム作成時に何も選ばなければ「現在のユーザー」になります。この初期状態のままであれば、送信した本人以外のアカウントは更新対象になりません。
技術的な詳細
確認していたのは「設定しようとする権限」だけ
このプラグインには、他人の権限を変更する資格を持たない利用者が、管理者権限を設定できないようにする仕組みがありました。しかしこの確認は、フォームから送られてきた「設定しようとする権限グループの値」に対してのみ行われるもので、その判定に更新先のアカウントは含まれていませんでした。
そのため、権限グループの値に手を加えず、更新対象だけを別のアカウントに向けた送信は、この確認にはかかりませんでした。
更新対象はフォームの送信内容から決定
更新対象の指定には、フォームの入力項目の値を参照する設定が使えます。この場合、どのアカウントを更新するかは送信された内容によって決まります。
上記のとおり更新先の妥当性は確認されないため、送信内容次第で、本来対象とすべきでないアカウントまで更新できました。
対策版での修正
バージョン 0.9.2.7 では、次の2点が追加されています。
- 更新対象が管理者権限を持つアカウントであり、かつ送信者がそのアカウントを編集する権限を持たない場合は、処理を中止する
- 送信された権限グループの値が、WordPressに実際に登録されているものかどうかを確認する
あわせて修正された問題
同じバージョンでは、以下の問題もあわせて修正されています。いずれも更新によって解消されます。
- メール送信アクションで、送信後に添付ファイルを削除する設定を有効にしている場合に、送信者が削除権限を持たないメディアファイルまで完全に削除できてしまう問題
- 投稿の編集画面で作成者を変更する機能で、保存時の権限確認が行われておらず、他人の投稿の作成者を変更できてしまう問題
- フォームを呼び出すショートコード（記事内に機能を埋め込むための短い記述）の一部の指定内容がページにそのまま出力されるため、記事を投稿できる権限の利用者が、閲覧者のブラウザ上で動くスクリプトを埋め込める問題
- Button Group（ボタン形式の選択項目）フィールドで、用意された選択肢に含まれない値が送信・保存され得る問題
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（0.9.2.7 以降）へ更新してください。
- 設定の確認
- WordPress管理画面の「ACF」→「Forms」からフォームの一覧を開き、ユーザー情報を更新するアクションを含むフォームがあるか確認してください。
- 該当するフォームがある場合は、そのアクションの「Target（更新対象）」の設定をご確認ください。「Current User（現在のユーザー）」であれば、本脆弱性の影響は受けません。特定のユーザーが指定されている場合や、フォームの入力項目を参照する設定になっている場合が確認の対象です。
- 被害確認
- 上記2で該当するフォームが見つかった場合は、WordPress管理画面の「ユーザー」を開き、管理者権限のアカウントのメールアドレスが登録時のままか確認してください。身に覚えのない変更がある場合は、アカウントが操作された可能性があります。
- WordPressは、パスワードが変更されると対象のアカウントのメールアドレス宛に通知メールを送信します。管理者アカウントで受信しているメールに、身に覚えのないパスワード変更の通知が届いていないかご確認ください。
- 不審な点が見つかった場合は、該当アカウントのパスワードを変更したうえで、プロフィール画面の「セッション」欄にある「他の場所からログアウト」を実行し、第三者のログイン状態を切断してください。
- 更新までの間の緩和策
- すぐに更新できない場合は、該当するフォームの公開を一時的に停止するか、更新対象の設定を「Current User（現在のユーザー）」に戻してください。この状態であれば、送信者本人以外のアカウントは更新されません。
- なお、この攻撃は通常のフォーム送信と同じ形式で行われるため、WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していても遮断できるとは限りません。根本的な対策となる更新を優先してください。
⇒ 身に覚えのないアカウントの変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Advanced Custom Fields: Extended 0.9.2.6 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-12526 
（公開日 2026年9月2日 更新日 2026年9月2日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
基本値: 8.1 (重要) [WPScan]
脆弱性脅威度(EPSS)
CVE-2026-12526 悪用確率 0.37% （上位69%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Advanced Custom Fields: Extended プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
