WordPressで問い合わせフォームを作るプラグイン（＝WordPressに機能を足す追加プログラム）「Contact Form 7」に、深刻度が最も高い区分の脆弱性（＝システムの安全上の欠陥）が見つかりました。番号は「CVE-2026-114432」です。ログインしていない第三者が、サイトに任意のファイルを置けてしまう欠陥とされています。
「うちの問い合わせフォームは、たしかContact Form 7で作ってもらったはず。放っておいて大丈夫？」
先に結論をお伝えします。自社サイトがContact Form 7の6.2〜6.2.3を使っているなら、修正版の6.2.4以降への更新を、開発会社や保守担当に早めに依頼しましょう。執筆時点（2026年11月9日 10時）では、実際に悪用されたという公式の確認は見当たりません。ただし、攻撃の手口の詳細は11月19日に公開される予定と案内されています。公開される前に更新を終えるのが安全です。
この記事では、公式の情報と脆弱性データベースの記載にもとづいて、何が分かっているか、発注者が開発会社に何を確認すればよいかを整理します。攻撃の具体的な手順は書きません。
Contact Form 7の脆弱性、分かっていることの要点
まず、公開されている情報を整理します（2026年11月9日 10時時点）。
| 項目 | 公開されている内容 |
|---|---|
| 対象 | WordPressのプラグイン「Contact Form 7」の6.2〜6.2.3 |
| 修正版 | 6.2.4（WordPress.orgの配布ページでは、現在の最新版は6.2.4.1と表示） |
| 内容 | フォームの添付ファイル欄から、ログインしていない第三者が任意のファイルをサイトに置ける（Unauthenticated Arbitrary File Upload） |
| 深刻度 | CVSS v3.1で9.8（緊急）。CVE.orgの記録にある米国CISAの評価 |
| 影響 | サーバーの設定によっては、置かれたファイルが実行され、遠隔からプログラムを実行される（RCE）おそれがある。そうでない設定でも、サイトの中に不審なファイルが置かれる |
| 公開日 | WPScanの掲載は11月5日、CVE.orgの記録の公開は11月8日 |
| 手口の詳細 | WPScanは、11月19日に公開すると案内している（更新の時間を確保するため） |
CVSS（＝脆弱性の深刻さを0〜10点で表す世界共通の指標）で9.8は、最も高い「緊急」の区分です。
悪用の状況は、次のとおりです。
- 米国CISAの「悪用が確認された脆弱性」の一覧（KEV）には、11月9日時点で載っていません
- CISAがCVE.orgの記録に添えた評価は、「悪用はまだ確認されていない」「自動化した攻撃が可能」「影響は全面的」です（11月8日付）
つまり、「まだ悪用は確認されていないが、攻撃の準備が簡単で、被害が大きくなり得る」という位置づけです。
なお、Contact Form 7の開発元の公式サイトは、執筆時点で本文を確認できませんでした。修正版の番号は、CVE.orgとWPScanの記載にもとづいています。
発注者にとって何が変わるか、変わらないか
ここからは筆者の見解です。事実と分けて読んでください。
変わること
- 「プラグインの更新」が、緊急の確認事項になります。Contact Form 7は、WordPress.orgの配布ページで有効インストール数が「10+ million（1,000万以上）」と表示されている、非常に広く使われているプラグインです。自社サイトで使っている可能性は低くありません。
- 11月19日が1つの目安になります。手口の詳細が公開されると、攻撃する側も動きやすくなります。それまでに更新を終えておくのが理想です。
変わらないこと
- 問い合わせフォームそのものを、今すぐ止める必要があるとまでは言えません（悪用の確認がないため）。ただし、更新を後回しにしてよい理由にもなりません。
- 「更新すれば絶対に安全」とも言い切れません。更新は、既知の欠陥を塞ぐ対策の1つです。
見落としやすい点：修正版はPHP 8.3以上が前提
WordPress.orgの配布ページによると、現在のContact Form 7は、WordPress 7.1以上・PHP 8.3以上を動作の条件にしています。サーバーのPHPが古いままだと、更新できない、あるいは更新するとフォームが動かなくなる可能性があります。
この場合、プラグインの更新だけでなく、PHPのバージョンを上げる作業が必要になることがあります。PHPのバージョンの確認や、上げるときの注意点は、次の記事で解説しています。
プラグインがPHPの新しい版に対応していないときの考え方は、こちらです。
今やるべきこと、様子見でいいこと
今やること
- Contact Form 7を使っているか確認する。WordPressの管理画面の「プラグイン」に一覧があります。開発会社や保守担当に聞くのが確実です。
- バージョンを確認する。6.2〜6.2.3なら対象です。6.2.4以降なら、この脆弱性は直っています。
- 更新を誰が・いつ行うかを決める。更新の作業は、契約上の保守に含まれているかも確認しましょう。
- 更新の前にバックアップを取ってもらう。特にPHPのバージョンも上げる場合は、元に戻せる状態にしておくことが大切です。
- 更新後にフォームの動作を確認する。入力・送信・通知メールが届くことまで、実際に試します。
- 更新が間に合わないときの代替策を相談する。たとえば、更新までの間は添付ファイル欄を使わない、フォームの公開を一時的に止めるといった選択肢があります。どの方法が現実的かは、サイトの作りによるため、開発会社に相談してください。
様子見でよいこと
- この脆弱性を理由にした、Contact Form 7からほかのフォームの仕組みへの乗り換え。まずは更新で足ります。
- 添付ファイル欄を使っているかどうかの細かな調査。記録上は添付ファイル欄を通じた問題とされていますが、欄を使っていないフォームなら安全だと、公開情報から断定はできません。使っているかにかかわらず、更新を進めましょう。
すでに攻撃されていないかの確認
6.2〜6.2.3のまま公開していた期間があるなら、念のため、サイトの中に身に覚えのないファイルが置かれていないか、開発会社に確認してもらうと安心です。特に、画像などのアップロードが保存される場所（uploadsフォルダ）を見てもらいましょう。ただし現時点で、悪用の事例は確認されていません。過度に心配する必要はありません。
開発会社に聞くときのチェックリストと質問例
- ☐ うちのサイトでContact Form 7を使っているか。使っているなら、バージョンはいくつか
- ☐ 6.2.4以降に更新するのは、いつまでにできるか（目安は11月19日より前）
- ☐ 更新の作業と費用は、現在の保守契約に含まれているか
- ☐ サーバーのPHPは8.3以上か。そうでなければ、PHPを上げる作業も必要か
- ☐ 更新の前にバックアップを取るか。問題が起きたら元に戻せるか
- ☐ 更新後、フォームの送信と通知メールの動作を確認してくれるか
- ☐ 添付ファイル欄を使っているフォームはあるか
- ☐ 脆弱性が出たプラグインを、今後どのように知り、いつまでに更新するのか（連絡の流れ）
質問例：
> 「Contact Form 7に深刻度の高い脆弱性（CVE-2026-114432）が公表されたと聞きました。うちのサイトのバージョンと、更新の予定を教えてください。PHPのバージョンが足りない場合の対応と、費用が保守契約に含まれるかも、あわせて確認させてください。」
更新の担当や頻度は、あらかじめ契約で決めておくと、こうしたときに迷いません。役割分担の考え方は、次の記事にまとめています。
まとめ
- Contact Form 7の6.2〜6.2.3に、深刻度9.8の脆弱性（CVE-2026-114432）が公開された。修正版は6.2.4
- 悪用の確認は、執筆時点（2026年11月9日 10時）では見当たらない。手口の詳細は11月19日に公開される予定
- まず「使っているか」「バージョンはいくつか」を、開発会社や保守担当に確認する
- 現在のContact Form 7はPHP 8.3以上が前提のため、PHPの更新が必要になる場合がある
- 更新の前にバックアップ、更新後にフォームの動作確認まで、一続きで依頼する
最新の状況は変わる可能性があります。この記事は、公開された情報が増えた時点で追記します。
あわせて読みたい関連記事
