フォローする WordPress用の人気のあるForminator Formsプラグインにおける重大なセキュリティ脆弱性により、認証されていない攻撃者が実行可能なPHPファイルをアップロードし、脆弱なウェブサイトの完全な制御を取得できる可能性があります。CVE-2026-15748として追跡されているこの任意ファイルアップロードの欠陥は、CVSSスコア9.8を持ち、Forminatorバージョン1.56.1までに影響を与えます。
Forminatorは、コンタクトフォーム、支払いフォーム、投票、クイズ、ファイルアップロードのために使用される広範囲に展開されているドラッグアンドドロップフォームビルダーです。このプラグインは60万以上のアクティブインストール数を誇ります。SecurityWeekによれば、問題が公に公表されたとき、30万以上のサイトが依然として脆弱なリリースを実行しており、かなりの攻撃表面を形成していました。
この脆弱性は特に危険です。なぜなら、悪用には認証やユーザーの操作が必要ないからです。必要なフォーム設定のもとで、攻撃者はForminatorの提出処理を操作し、危険なファイルタイプの制限を回避し、PHPコードをウェブサーバーにアップロードすることができます。アップロードされたファイルを実行できる場合、攻撃はリモートコード実行に直接進行し、WordPressサイトの完全な妥協へとつながる可能性があります。
CVE-2026-15748分析
この脆弱性は、Forminatorのhandle_file_upload()機能に起因し、ファイルタイプの検証の不足や攻撃者が制御するフォーム設定データの安全でない取り扱いの組み合わせによって生じます。1つの検証失敗に依存するのではなく、攻撃者はフォーム提出プロセスのいくつかの弱点を連鎖して、通常のユーザー制御データを偽のアップロード設定に変換します。
成功した悪用には、ファイルアップロードフィールドとセレクトフィールドの両方を含む公開されたForminatorフォームが必要です。Wordfenceは、Forminatorの一般的なリクエストサニタイザーが特定のネストされた値を後の処理段階に到達させることが可能であるため、セレクトフィールドが特別に構築されたネストデータの運搬手段として乱用される可能性があることを発見しました。
攻撃者はこのデータを操作し、セレクトフィールドが効果的にアップロード記録として偽装するようにできます。この偽の記録には、フィールド名、タイプ、設定を定義する攻撃者が制御する値を含むことができます。フォームに本物のファイルアップロードフィールドも含まれる場合、Forminatorのアップロード処理ルーチンは偽のエントリに基づいて動作し、攻撃者が提供した設定を正当なものであるかのようにアップロードハンドラに渡します。
悪用の第二段階は、Forminatorの危険拡張子ブロックリストを対象としています。プラグインは、PHP、JavaScript、実行可能ファイル、シェルスクリプト、その他の潜在的に危険なフォーマットを削除しようとします。ただし、脆弱な実装は正確なキー一致を実行します。
Wordfenceは、攻撃者がブロックリストに認識されないがWordPressが.phpファイルとして一致するものと解釈する代替の拡張子とMIMEタイプの表現を提供できることを実証しました。これにより、実行可能なPHPペイロードが脆弱なファイル検証プロセスを通過し、サーバーに書き込まれることが可能となります。
CVE-2026-15748は、バージョン1.56.1までのすべてのForminator Formsリリースに影響を与えます。問題はCWE-434として分類され、危険なタイプのファイルの無制限アップロードであり、そのCVSSベクトルは、低複雑性、特権不要、ユーザーインタラクション不要のネットワークベースの悪用を反映しており、機密性、整合性、および可用性への影響が高い可能性があります。
任意ファイルのアップロードが直ちにリモートコード実行に発展するかどうかを決定する追加の条件があります。Forminatorのデフォルト設定では、アップロードされたファイルはPHP実行を防止するよう設計された.htaccessファイルを含むディレクトリに保存されます。
しかし、管理者はカスタムファイルアップロードストレージルートを設定することができます。Wordfenceは、このカスタムディレクトリが保護ファイルを作成するWordPressヘルパーが利用できないフロントエンドリクエスト中に最初に初期化されるため、同じ.htaccess保護なしで作成される可能性があることを発見しました。その設定では、悪意のあるアップロードされたPHPファイルを単にリクエストするだけで、攻撃者のコードがウェブサーバーで実行される可能性があります。
したがって、CVE-2026-15748に関する最も重要な詳細は、脆弱なフォーム設計とアップロードストレージ設定の両方を含みます。影響を受けたプラグインを使用しているサイトは、必要なファイルアップロードおよびセレクトフィールドが存在しない限り、実証されたRCEチェーンを通じて自動的に悪用可能ではありませんが、カスタムアップロードストレージは、ファイルアップロードの成功の結果を大幅に高める可能性があります。
PHP実行が達成されると、攻撃者はウェブシェルを展開し、それを使用してWordPressインストールを制御することができます。サーバーの特権とホスティングアーキテクチャに依存して、これにより、サイトコンテンツの変更、認証情報の盗難、データベースアクセス、マルウェア配布、管理者アカウントの作成、持続性、または基盤となるホスティング環境へのさらなる移動が可能になります。Wordfenceは特に、このタイプの任意ファイルアップロード脆弱性がサイトの完全な妥協につながる可能性があると警告しています。
この脆弱性はセキュリティ研究者のdarooによって発見され、Wordfenceバグ報奨金プログラムを通じて報告されました。Wordfenceは2026年7月11日に最初の提出を受け取り、7月14日に問題を検証し、CVE-2026-15748のPoCを確認し、同日にForminator開発チームに技術的詳細を提供しました。
開発者は7月20日に脆弱性を認識し、修正のレビューのためにパッチを提出しました。Forminatorバージョン1.56.2は、完全なセキュリティ修正を含み、2026年7月31日にリリースされました。脆弱性は8月中旬にWordfenceによって公に詳細が公表されました。
開示時点では、野生でのアクティブな悪用の報告はありませんでした。CISAの脆弱性豊富化情報でも、悪用は8月18日時点で「なし」とリストされていましたが、悪用が自動化可能であり、技術的な影響が総合的であると分類されていました。
引用された研究に、攻撃者が制御するIPアドレス、ドメイン、またはマルウェアハッシュなどのキャンペーン特定のCVE-2026-15748 IOCは現在公開されていません。したがって、組織は行動証拠、疑わしいアップロード、アップロードディレクトリに現れるPHPファイル、および静的な指標に頼るのではなく予期しないサーバーサイド実行に集中するべきです。
CVE-2026-15748の緩和策
ウェブサイト管理者は、Forminator Formsを直ちにバージョン1.56.2以降にアップグレードするべきです。修正済みリリースは2026年7月31日に公開され、Wordfenceによって記述された任意のファイルアップロードの弱点に完全に対処しています。
CVE-2026-15748の検出は、Forminatorを実行しているWordPressインストールを特定し、正確なプラグインバージョンを判断することから始めるべきです。バージョン1.56.1以前を使用しているサイトは、脆弱であると見なすべきであり、特に公開フォームがセレクトおよびファイルアップロードフィールドの両方を含む場合、優先的にパッチを適用するべきです。
管理者はまたForminatorのファイルストレージ設定を調査するべきです。カスタムアップロードルートを使用しているサイトは、ディレクトリがPHPファイルの実行を通常防止する.htaccess保護を含んでいない可能性があるため、追加の注意が必要です。
CVE-2026-15748の悪用試行を検出するために、セキュリティチームは次のような活動のためにWordPress、ウェブサーバー、WAF、ファイルシステムのテレメトリーを確認すべきです：
- Forminatorアップロードディレクトリでの予期しない.php、.phtmlまたは他の実行可能ファイル
- セレクトフィールドに関連する異常なネストデータを含むフォーム提出
- ファイルアップロード機能に提出された疑わしいMIMEタイプまたは拡張子パターン
- 最近アップロードされたPHPファイルへの直接的なHTTPリクエスト
- 疑わしいフォーム提出後に生じた新しいまたは変更されたWordPress管理者アカウント
- PHPまたはウェブサーバープロセスによって開始された予期しないアウトバウンド接続
- WordPressコンテンツディレクトリの下に現れるウェブシェル、難読化されたPHPコード、または不明なファイル
- テーマ、プラグイン、設定ファイル、データベースレコードの変更の説明がつかないもの
これらの行動は正当なものや関連のない原因を持つ可能性もあるため、Forminatorのバージョン情報と疑わしいフォーム提出活動と相関させ、侵害の確認として扱うべきです。
組織は、更新前の履歴ログも見直すべきです。バージョン1.56.2のインストールは今後の悪用を防ぎますが、すでにサーバーに配置されている悪意のあるファイルや持続化のメカニズムを取り除くわけではありません。
悪用の証拠が発見された場合、インシデントレスポンダーはウェブとアプリケーションログを保護し、アップロードされたペイロードを特定し、ファイルシステムでウェブシェルや持続性を調査し、管理者アカウントとAPI資格情報を見直し、露出したWordPressとデータベースの秘密情報を更新し、コアWordPress、プラグイン、テーマのファイルの整合性を確認すべきです。
Wordfenceは、ファイアウォールの組み込みの悪意のあるファイルアップロード保護がこの脆弱性をターゲットにした試みを有料ユーザーと無料ユーザーの両方に対してブロックすることを述べています。しかし、ウェブアプリケーションファイアウォールは、脆弱なプラグインを更新する代わりではなく、追加の防御層として考慮されるべきです。
脆弱性の深刻度が9.8であること、認証要件がないこと、自動化可能な悪用の可能性があること、インストール数が多いことを考慮すると、CVE-2026-15748の緩和策は、インターネットに直結したWordPressウェブサイトを運営している組織にとっては高優先度のアクションとして扱われるべきです。
FAQ
CVE-2026-15748とは何で、どのように機能しますか？
CVE-2026-15748は、Forminator Forms WordPressプラグインにおける重要な任意ファイルアップロード脆弱性です。認証されていない攻撃者は、セレクトフィールドとファイルアップロードフィールドの両方を含むフォームを操作し、偽のアップロード設定データを注入し、プラグインの危険拡張子フィルタを回避し、実行可能なPHPファイルをアップロードすることができます。脆弱なストレージ設定の下では、そのファイルを要求することがリモートコード実行を引き起こす可能性があります。
CVE-2026-15748はいつ初めて発見されましたか？
Wordfenceは2026年7月11日に研究者からの最初の脆弱性提出を受け取り、7月14日にエクスプロイトを確認しました。Forminatorチームは7月14日に開示を受け取り、7月20日に認識し、2026年7月31日に完全に修正されたForminator 1.56.2をリリースしました。
CVE-2026-15748のシステムへの影響は何ですか？
成功した悪用により、ウェブサイトにアカウントを持たない攻撃者が実行可能なPHPコードをアップロードできる可能性があります。サーバーが影響を受けたアップロードディレクトリからの実行を許可している場合、攻撃者はリモートコード実行を取得し、WordPressサイトを完全に制御できる可能性があります。
CVE-2026-15748は2026年でもまだ影響を及ぼす可能性がありますか？
はい。必要なフォーム設定が存在する限り、Forminator 1.56.1またはそれ以前のバージョンを実行している任意のウェブサイトは脆弱なままである可能性があります。SecurityWeekは、脆弱性が公に開示された時点で30万以上のインストールが潜在的に露出していたと推定しました。
CVE-2026-15748から自分を守るにはどうすればいいですか？
Forminator Formsを直ちにバージョン1.56.2以上にアップグレードしてください。管理者はまた、カスタムアップロードディレクトリをレビューし、履歴のフォームとウェブサーバーログを調査し、予期しない実行可能なファイルを検索し、プラグインがパッチを適用される前の疑わしい活動を調査するべきです。
