攻撃者が、WordPress向けプラグインElementor Proの重大な脆弱性の悪用を開始しました。この脆弱性により、悪意のあるPHPファイルをサーバーにアップロードし、その後リモートでコマンドを実行できます。脆弱性にはCVE-2026-32475の番号が付けられており、Elementorは8月19日にリリースしたバージョン4.2.2で修正しました。
このプラグインは600万件を超えるアクティブインストール数を持ち、ドラッグ＆ドロップのインターフェースを通じてWordPressのページやサイトを構築するために使用されています。Wordfenceプラットフォームを開発するDefiantによると、同社のウェブアプリケーションファイアウォールは、脆弱性の修正以降、顧客を標的とした悪用試行を約20万件ブロックしました。
悪用はどのように行われるのか？
問題は、Elementor Proのフォームを通じてアップロードされるファイル配列の検証における欠陥に関係しています。攻撃者は配列の最初の要素として空のファイルを送信し、2番目の要素として悪意のあるPHPファイルを添付できます。この順序により、後続ファイルの検証が停止し、悪意のあるペイロードが通過します。
ファイルがアップロードされると、/wp-content/uploads/elementor/forms/パス内に、攻撃者が指定した.php拡張子を維持したまま、ランダムな名前で保存されます。その後、ファイルに直接アクセスしてサーバー上でコマンドを実行できるため、攻撃者はリモートで命令を実行する能力を得ます。
サイトはいつ危険にさらされるのか？
この悪用には、サイト上に任意のフォームが存在する必要はありません。ただし、公開中のサイトに、少なくとも1つのFile Uploadフィールドを含むElementor Pro Form要素が存在する必要があります。情報源によると、これらはこのプラグインを利用するサイトで一般的な設定です。
Wordfenceは9月2日に攻撃活動について警告し、攻撃はElementorがバージョン4.2.2をリリースしたのと同じ日に始まったと述べました。同社は8月19日から23日にかけて活動の増加を記録し、19万件を超える悪用試行をブロックしました。また、防御側がブロックリストに追加できるよう、攻撃者が数千件の攻撃で使用したIPアドレスの一覧も提供しました。
サイト管理者は何をすべきか？
Elementor Proを直ちにバージョン4.2.2以降へ更新する必要があります。警告では、/wp-content/uploads/elementor/forms/パスを調査し、不明なPHPファイルがないか確認することも推奨しています。このパスはフォーム経由でアップロードされたファイルの保存に使用されるため、そこにPHPファイルが存在する場合、サイトが侵害された可能性を強く示す兆候であり、クリーンアップと調査が必要です。
なぜこのニュースが重要なのか？
この脆弱性の重要性は、インストール数だけにあるのではありません。ウェブフォーム内のファイルアップロード機能が、サーバー上でコマンドを実行するための入口に変わってしまう点にあります。また、修正プログラムのリリース当日に攻撃が始まったことで、まだ更新していないサイトには短い時間枠しか残されていません。情報源は、すべての攻撃が成功した範囲については明らかにしていませんが、広範囲にわたるアクティブな悪用と、多数のブロックされた試行が存在することを示しています。そのため、更新に加えて、アップロードされたファイルとサーバーログを確認することが依然として必要です。