WordPressで問い合わせフォームを作成できる代表的なプラグイン「Contact Form 7」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 6.2 から 6.2.3 までです。
本脆弱性を悪用された場合、ログインしていない第三者が、フォームからのファイル送信を通じて、本来は受け付けないはずの種類のファイルをサーバーへ保存できる可能性があります。
対策として、バージョン 6.2.4 以降への更新を推奨します。
脆弱性詳細
問題があるのは、フォームから送信されたファイルを受け付ける処理です。影響を受けるのは、ファイルを添付できる項目（ファイル添付欄）を含むフォームを一般に公開しているサイトです。
攻撃者はサイトにアクセスできる状態であれば十分で、ログインや、閲覧者側の特別な操作は必要ありません。攻撃はフォームへのファイル送信を通じて行われます。
想定される被害
この脆弱性が悪用された場合、ファイル種別の確認や、ファイル名を安全な形へ整える加工をすり抜けて、本来は保存されないはずの種類のファイルがサーバー上へ保存されるおそれがあります。
保存先の保護設定が効かないサーバー構成では、保存されたファイルを介して以下のような影響につながる可能性があります。
- サイト上に不正なページやスクリプトが設置され、そのページを開いた閲覧者のブラウザで不正な処理が実行される
- 設置されたファイルを介して、サーバー側でプログラムが実行される状態に至る
被害発生の条件
本脆弱性の悪用が成立するには、以下の条件が関係します。
- フォームに、ファイルを添付できる項目が含まれていること
- 保存先フォルダーへの直接アクセスを拒否する設定（プラグインが自動設置する保護用の設定ファイル）が、サーバー側で無効化されている、または尊重されない構成であること
この保護が有効な環境では、保存されたファイルへインターネットから直接アクセスする経路は成立しません。
技術的な詳細
本脆弱性には、ファイル名を安全に処理する部分の2つの不備が関係しています。
- 危険な拡張子の判定が、あらかじめ列挙した一部の拡張子だけを無害化する方式（限定列挙）でした。そのため、列挙から漏れた拡張子は、無害化されないまま通過し得る状態でした。
- ファイル名の検証や無害化に用いる文字処理が、文字コードとして正しくないデータを含む入力を想定していませんでした。そのような入力を与えると文字処理が途中で停止し、ファイル種別の確認と、ファイル名を安全な形へ整える加工の両方が機能しないまま、ファイルが保存され得る状態となっていました。
対策版での修正
対策版（6.2.4）では、無害化の方式を「あらかじめ許可した種類のみを通す方式（許可リスト）」へ改め、あわせて、文字処理の前に入力データを正しい文字コードへ整える処理を追加して、確認と加工が確実に行われるよう見直されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（6.2.4 以降）へ更新してください。
- 被害確認
- サーバー上のアップロード一時保存先フォルダー（通常は
wp-content/uploads/wpcf7_uploads/配下）に、身に覚えのないファイルが残っていないか確認してください。このフォルダーのファイルは一定時間で自動削除される仕組みのため、残っていないこと自体は異常ではありませんが、フォームで受け付けているはずのない種類のファイル（例：.html などのページファイルや、サーバー設定用のファイル）が置かれている場合は、開かずに隔離・削除し、専門家へ相談してください。 - Webサーバーのアクセスログで、フォームのファイル送信を受け付けるリクエストに、短時間に繰り返される送信など不審な記録が無いか確認すると、悪用の痕跡を把握しやすくなります。
- サーバー上のアップロード一時保存先フォルダー（通常は
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、不正なファイルアップロードを狙う通信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なファイルや、身に覚えのない改ざんなどが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Contact Form 7 バージョン 6.2 から 6.2.3 まで（6.2.4 で修正）
脆弱性情報 (CVE-ID)
現時点では、CVE-ID は採番されていません。
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) 
[Wordfence]
基本値: 8.1 (重要) [Patchstack]
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Contact Form 7 プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
