カスタムフィールドを管理するプラグイン「Advanced Custom Fields（ACF）」の拡張プラグイン「Advanced Custom Fields: Extended」において、複数の脆弱性が確認されました。影響を受けるのは、バージョン 0.9.2.7 までのバージョンです。
いずれも、プラグインの「Forms」機能（サイトの公開画面に入力フォームを設置する機能）で作成したフォームが、特定の設定になっている場合に成立します。条件に合致するフォームを公開している場合、未ログインの第三者によって、管理者アカウントの乗っ取り、サーバー上での任意コードの実行、メディアファイルの不正削除が行われるおそれがあります。
対策として、バージョン 0.9.2.8 以降への速やかなアップデートを推奨します。
脆弱性詳細
問題が確認されたのは、「Forms」機能で設定可能な以下の3種類のアクション（送信時に実行される処理）です。
- (1) ユーザー情報を更新するアクション（Update User）：CVE-2026-94268
更新対象のアカウントをフォームの入力値から決定する設定になっている場合に影響を受けます。対象となるのは、サイトの管理者アカウントです。 - (2) 投稿を更新するアクション（Update Post）：CVE-2026-94267
更新対象の投稿と更新内容の両方をフォームの入力値から決定する設定になっている場合に影響を受けます。対象となるのは、ACFがフィールド定義を保存している内部データです。 - (3) メールを送信するアクション（Email）：CVE-2026-112311
添付ファイルを「送信後に削除する」設定にしている場合に影響を受けます。対象となるのは、メディアライブラリに登録されたファイルです。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
(1) ユーザー情報を更新するアクション
- 管理者アカウントのユーザー名などが改ざんされ、そのアカウントへ不正にログインされる
- 不正ログインされた場合、投稿・ユーザー管理・プラグイン・サイト設定など、管理画面で行えるすべての操作が可能になる
(2) 投稿を更新するアクション
- ACFのフィールドグループやフィールド設定が不正に書き換えられる
- 改ざんされた設定を悪用され、サーバー上で任意のプログラム（悪意のあるコード）が実行されるおそれがある
(3) メールを送信するアクション
- 送信者に削除権限がない画像などのファイルが、ファイル本体ごと削除される
- 削除されたファイルを参照しているページで、画像などが表示されなくなる
※削除対象はメディアライブラリに登録されたファイルに限られ、WordPressの設定ファイル（wp-config.phpなど）が削除されることはありません。
被害発生の条件
以下の条件をすべて満たす場合に脆弱性が成立します。
- 「Forms」機能で作成したフォームを、サイトの公開画面に設置している
- そのフォーム内に、上記(1)〜(3)のいずれかのアクションが、それぞれの条件に当てはまる設定で含まれている
上記に当てはまるフォームを誰でもアクセスできる状態で公開している場合、未ログインの第三者からでも攻撃を受ける可能性があります。
なお、(1)のアクションは、更新対象を指定しなければ「Current User（送信者本人）」になります。初期設定のまま運用している場合は、(1)の影響を受けません。
技術的な詳細
(1) ユーザー情報を更新するアクション
このアクションには、送信者が管理者アカウントを更新できないように確認する仕組みがありました。しかし、以下の実装上の不備がありました。
- 「権限を確認する時点」と「実際に更新する時点」で、更新対象のアカウントが別々に決定されており、両者が一致する保証がなかった
- 確認の時点で更新対象が空の場合、確認処理そのものが行われずに通過していた
- 管理者以外のアカウントについては、送信者に編集権限があるかどうかの確認が行われていなかった
- ユーザー名を変更した際の処理で、送信者本人ではなく、更新対象のアカウントとしてログインし直す処理になっていた
これらが重なることで、以下の流れで攻撃が成立します。
- 攻撃者が、入力値から更新対象を決定する設定のフォームに、細工したデータを送信する
- 確認の時点では管理者アカウントが対象として検出されず、確認をすり抜ける
- 実際の更新時に、管理者アカウントのユーザー名が書き換えられる
- 攻撃者のブラウザに、管理者アカウントとしてログインした状態を示す情報（Cookie）が発行される
(2) 投稿を更新するアクション
- アクションの実行時、送信者が対象の投稿を編集する権限を持っているか確認していなかった
- そのため、ACFが内部で使用している「フィールドグループやフィールド定義を保存した投稿データ」までも更新対象に指定できた
- さらに、入力チェック（Validation）機能に、設定に書かれた関数名を、呼び出してよいものか確認せずに呼び出す処理があった
- 攻撃者がフィールド設定を改ざんすることで、入力チェックの実行時に、任意のPHP関数をサーバー上で呼び出せる状態になっていた
(3) メールを送信するアクション
- 添付ファイルの指定方法として「ファイルID」と「ファイルURL（またはパス）」の両方が受け付けられていた
- 削除権限の確認は「ファイルID」で指定された場合にしか行われていなかった
- URLやパスで指定された場合は、権限の確認を経ずに、メール送信後にメディアライブラリからファイル本体ごと完全に削除されていた
対策版での修正
- (1)：更新対象が空の場合は処理を中断し、すべての更新対象について、送信者の編集権限を確認するよう変更されました。また、ログインし直す処理は、送信者本人を更新した場合に限定されました。
- (2)：ACFの内部データを更新する際には、ACFの管理権限を必要とするよう変更されました。また、入力チェックで呼び出せる関数は、あらかじめ許可されたもの（許可リスト方式）に限定されました。
- (3)：ファイルの指定方法にかかわらず、常に削除権限を確認するよう修正されました。
あわせて修正された問題
対策版（0.9.2.8）では、以下の問題も修正されています（プラグインの更新によってすべて解消します）。
- ショートコードによるフォーム設定の上書き：記事を投稿できる権限の利用者が、フォーム埋め込み用のショートコード（記事内に機能を埋め込むための短い記述）を細工して、フォーム設定の大半を上書きできた問題。送信完了画面にサイト内部の情報を表示させたり、閲覧者のブラウザ上で動くスクリプトを埋め込んだり（XSS：クロスサイトスクリプティング）できました。
- 投稿作成フォームにおける内部情報の漏えい：入力値に特定の記述を含めることで、ユーザー情報や設定値などの内部データが、作成される投稿のタイトルに書き込まれてしまう問題
- リンク選択機能（Advanced Link）の候補取得：未ログインの利用者でも、候補一覧を通じて下書きや非公開の投稿タイトルを閲覧できてしまう問題
- 管理画面用の処理の権限不備：管理画面用の一部の処理が、未ログインの利用者や低権限ユーザーからも呼び出せていた問題
脆弱性の種類
CWE-639 ユーザー制御の鍵による認可回避 
（CVE-2026-94268）
※本来アクセスできないデータを、指定する値を変えるだけで操作できてしまう問題（IDOR）
CWE-94 コード・インジェクション （CVE-2026-94267）
CWE-862 認可の欠如 （CVE-2026-112311）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（0.9.2.8 以降）へアップデートしてください。
- 設定の確認
- WordPress管理画面の「ACF」→「Forms」からフォーム一覧を開き、公開中のフォームに以下の設定が含まれていないか確認してください。
- 「Update User」アクションで、「Target（更新対象）」が「Current User」以外に指定されている
- 「Update Post」アクションで、「Target（更新対象）」と投稿の内容が、フォームの入力値から決まる設定になっている
- 「Email」アクションで、添付ファイルを「送信後に削除する」設定が有効になっている
- 該当する設定がなければ、上記(1)〜(3)の影響は受けません。
- WordPress管理画面の「ACF」→「Forms」からフォーム一覧を開き、公開中のフォームに以下の設定が含まれていないか確認してください。
- 被害状況の確認（上記2に該当するフォームがあった場合）
- (1) 管理画面の「ユーザー」を開き、管理者アカウントのユーザー名とメールアドレスが変更されていないか確認してください。WordPressの標準画面ではユーザー名を変更できないため、身に覚えのない変更があれば、不正操作の疑いがあります。不審な点がある場合は、直ちにパスワードを変更し、ユーザー編集画面下部の「セッション」欄にある「他の場所からログアウト」を実行してください。
- (2) 管理画面の「ACF」→「フィールドグループ」を開き、心当たりのない日時に更新されたフィールドグループがないか確認してください。該当するものがあれば、各フィールドの「Validation（入力チェック）」項目に、身に覚えのない関数名や設定がないか確認してください。あわせて、サーバー上のテーマ・プラグインのフォルダに、身に覚えのないファイル（PHPファイルなど）が作成されていないか確認してください。
- (3) 管理画面の「メディア」を開き、必要な画像やファイルが消えていないか確認してください。公開ページで画像などが表示されなくなっていないか、またWebサーバーのアクセスログで
/wp-content/uploads/配下へのアクセスに「404（見つからない）」が増えていないかも確認してください。
- 更新までの間の緩和策
- すぐにプラグインを更新できない場合は、上記2で該当したフォームの公開を一時的に停止してください。
- 「Update User」アクションについては、「Target」を「Current User」に戻すことでも影響を避けられます。
- なお、これらの攻撃は通常のフォーム送信と同じ形式で行われるため、WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していても遮断できない可能性があります。根本的な対策となるプラグインの更新を優先してください。
⇒ アカウント情報の改ざん、フィールドグループの不審な更新、身に覚えのないファイルの作成が確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Advanced Custom Fields: Extended 0.9.2.7 までのバージョン（0.9.2.8 で修正）
※Advanced Custom Fields: Extended PRO も、0.9.2.8 で修正されています
脆弱性情報 (CVE-ID)
CVE-2026-94268
（公開日 2026年10月23日 更新日 2026年10月23日）
CVE-2026-94267
（公開日 2026年10月23日 更新日 2026年10月23日）
CVE-2026-112311
（公開日 2026年10月22日 更新日 2026年10月22日）
脆弱性の深刻度 (CVSS v3)
CVE-2026-94268 基本値: 9.8 (緊急) [Wordfence]
CVE-2026-94267 基本値: 9.8 (緊急) [Wordfence]
CVE-2026-112311 基本値: 9.1 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-94268 悪用確率 0.32% （上位75%） 2026年10月28日時点
CVE-2026-94267 悪用確率 0.39% （上位67%） 2026年10月28日時点
CVE-2026-112311 悪用確率 0.35% （上位72%） 2026年10月28日時点
参考
Advanced Custom Fields: Extended <= 0.9.2.7 – Unauthenticated Remote Code Execution（CVE-2026-94267）
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Advanced Custom Fields: Extended プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
