WordPress「Forminator」にCVSS 9.8の脆弱性　未認証で任意ファイルアップロード、30万超が未更新の可能性

WordPress向けフォーム作成プラグイン「Forminator Forms」に、認証を必要とせず任意のファイルをアップロードできる重大な脆弱性が公表されました。

脆弱性はCVE-2026-15748として管理され、Wordfenceが付与したCVSS v3.1スコアは9.8（Critical）です。影響を受けるのはForminator Forms 1.56.1以前で、修正版は1.56.2です。WordPress.orgでは現在、Forminatorは60万以上のサイトで有効化されています。

SecurityWeekは8月18日時点のWordPress.orgのバージョン分布を基に、約半数が脆弱なバージョンを使用しており、30万超のWordPressサイトが潜在的に影響を受ける可能性があると報じています。ただし、この30万という数字は侵害されたサイト数ではありません。また、脆弱版を利用しているすべてのサイトで直ちにリモートコード実行（RCE）が成立するわけではなく、フォーム構成やファイル保存先の設定などの条件があります。

Wordfenceは2026年8月17日時点で実際の攻撃での悪用を報告しておらず、CVEレコードに追加されたCISAのSSVC情報でも悪用状況は「none」とされています。8月20日時点でCISAのKnown Exploited Vulnerabilities（KEV）Catalogへの掲載も確認できませんでした。

Forminator CVE-2026-15748のサマリー

• WordPress向け「Forminator Forms」にCVE-2026-15748が公表されました。
• 脆弱性は、認証不要の任意ファイルアップロードです。
• WordfenceによるCVSS v3.1スコアは9.8で、Criticalに分類されています。
• 影響バージョンは1.56.1以前です。
• 修正版は1.56.2で、WordPress.orgの変更履歴では2026年7月30日に公開されています。
• Wordfenceの開示タイムラインでは、完全修正版の公開を7月31日としています。
• WordPress.orgによると、Forminatorの有効インストール数は60万以上です。
• SecurityWeekは当時のバージョン分布から、30万超のサイトが脆弱版を利用している可能性があると推計しています。
• この30万超は「侵害されたサイト数」ではありません。
• 任意ファイルアップロードの悪用には、対象フォームにFile UploadフィールドとSelectフィールドの両方が存在することが条件です。
• Wordfenceによると、標準の保存先ではPHP実行を防ぐ保護がありますが、カスタムのファイル保存先を使用する一部構成では、アップロードされたファイルが実行されRCEにつながる可能性があります。
• WordfenceはPoCによる再現を確認していますが、公式情報から公開PoCコードの存在は確認できませんでした。
• 2026年8月20日時点で、実際の攻撃での悪用は一次情報から確認できませんでした。
• 2026年8月20日時点で、CISA KEV Catalogへの掲載は確認できませんでした。
• WordPress.org上の最新バージョンは8月20日時点で1.57.1です。利用者は少なくとも1.56.2以上、可能であれば最新安定版へ更新する必要があります。

脆弱性の整理表

項目	内容
CVE	CVE-2026-15748
対象製品	Forminator Forms – Contact Form, Payment Form & Custom Form Builder
開発元	WPMU DEV
脆弱性種別	任意ファイルアップロード
CWE	CWE-434
CVSS	9.8 Critical（Wordfence CNA）
影響バージョン	1.56.1以前
修正版	1.56.2
現在の最新版	1.57.1（2026年8月20日時点）
認証	不要
ユーザー操作	不要
想定影響	任意ファイルアップロード、条件を満たす場合はRCE、サイト侵害
成立条件	対象フォームにFile UploadとSelectの両フィールドが存在
RCEの追加条件	ファイル保存先の構成によって実行可能になる場合がある
有効インストール数	60万以上
未更新サイト	SecurityWeekは30万超の可能性と推計
悪用確認	2026年8月20日時点で確認できませんでした
PoC	Wordfenceが検証用PoCで再現。公開PoCコードは公式情報から確認できませんでした
CISA KEV	2026年8月20日時点で未掲載
IOC	公式には公表されていません
対策	1.56.2以上、可能であれば最新安定版へ更新

Forminatorは60万以上のWordPressサイトで利用

Forminator Formsは、問い合わせフォーム、注文フォーム、決済フォーム、アンケート、投票、クイズなどを作成できるWordPressプラグインです。

WordPress.orgによると、2026年8月20日時点の有効インストール数は60万以上で、現在の公開バージョンは1.57.1です。

今回の脆弱性を調査したWordfenceも、公開時点で60万以上の有効インストールがあるプラグインとして注意を呼びかけています。

SecurityWeekは、WordPress.orgが示していたバージョン利用状況から、およそ半数が1.56.1以前を使用しているとし、30万超のサイトが潜在的に脆弱な状態にあると報じました。

ただし、「30万サイトがハッキングされた」「30万サイトでRCEが可能」と読み替えることはできません。

バージョンが脆弱であることに加え、実際に問題となるフォーム構成や保存先の条件を満たしている必要があります。

CVE-2026-15748は認証不要の任意ファイルアップロード

CVE-2026-15748は、Forminatorのファイルアップロード処理における検証不備です。

NVDとWordfenceによると、Forminator Forms 1.56.1以前では、ファイル種別を確認する処理と、フォーム送信時に扱うフィールド設定の検証に問題があり、認証されていない第三者が本来許可されない種類のファイルをアップロードできる可能性があります。

攻撃にWordPressアカウントは必要ありません。

CVSSベクトルでも、ネットワーク経由で攻撃可能、攻撃条件の複雑性は低い、事前権限不要、利用者の操作不要と評価されており、機密性・完全性・可用性への影響はいずれもHighとされています。

NVD自体は8月20日時点で独自のCVSS評価をまだ付与しておらず、掲載されている9.8はCVE Numbering AuthorityであるWordfenceによる評価です。

すべてのForminatorサイトで悪用できるわけではない

今回の脆弱性で特に注意したいのが、悪用条件です。

Wordfenceによると、任意ファイルアップロードを成立させるには、公開されているフォームの中に「File Upload」と「Select」の両方のフィールドが含まれている必要があります。

そのため、Forminator 1.56.1以前を使用しているというだけで、すべてのサイトが同じ条件で攻撃可能になるわけではありません。

さらに、任意ファイルをアップロードできることと、そのファイルをサーバー上でコードとして実行できることも分けて考える必要があります。

Wordfenceによると、Forminatorの標準的なアップロード先にはPHPファイルの実行を防ぐ保護があります。一方、管理者が「Custom File Upload Storage」で独自の保存先を設定している場合、保存先に同じ保護が適用されず、アップロードされたPHPファイルが実行される構成になる可能性があります。

この条件を満たす場合、リモートコード実行につながり、WordPressサイト全体を侵害されるおそれがあります。

「任意ファイルアップロード」と「RCE」は分けて考える

CVE-2026-15748はCVSS 9.8の重大な脆弱性ですが、「脆弱版を使っていれば必ずサイトを乗っ取られる」という説明は正確ではありません。

まず、脆弱性そのものは認証不要の任意ファイルアップロードです。

そのうえで、アップロードしたファイルをWebサーバーが実行可能な保存先へ配置できる構成では、RCEへ発展する可能性があります。

この違いは対応優先度を下げる理由にはなりません。

未認証の第三者が外部からファイルをアップロードできる脆弱性であり、サイト構成によっては完全侵害につながるため、対象バージョンを利用している場合は設定確認だけで済ませず、修正版へ更新する必要があります。

修正版1.56.2は7月末に公開

Wordfenceによると、脆弱性はセキュリティ研究者「daroo」氏によって発見され、2026年7月11日にWordfence Bug Bounty Programへ報告されました。

Wordfenceは7月14日に問題を検証し、PoCを使って脆弱性を再現したうえで、同日WPMU DEVへ詳細を通知しています。

開発元は7月20日に修正を提出しました。

修正版となるForminator 1.56.2について、WordPress.orgの変更履歴では7月30日公開、Wordfenceの開示タイムラインでは7月31日公開と記載されています。日付に1日の差がありますが、いずれの一次情報でも1.56.2がCVE-2026-15748の修正版である点は一致しています。

WordPress.orgでは、その後も更新が続いており、8月20日時点の最新版は1.57.1です。

運用中の環境では、最低限1.56.2以上へ更新し、互換性を確認できる場合は最新の安定版へ更新するのが適切です。

PoCはWordfenceが検証、実際の攻撃での悪用は未確認

Wordfenceは7月14日に検証用PoCを使って脆弱性を確認したとしています。

一方、今回確認したWordfence、NVD、GitHub Advisory Databaseなどの一次・公式情報から、一般向けに利用可能なPoCコードが公開されていることは確認できませんでした。

GitHub Advisory Databaseも、このCVEについて「No known source code」と表示しています。

また、Wordfenceの8月17日の公開時点で、実際の攻撃でCVE-2026-15748が悪用されたとの報告はありません。

NVDのCVEレコードに追加されたCISAのSSVC情報でも、8月18日時点のExploitationは「none」です。

CISA Known Exploited Vulnerabilities Catalogについても、8月20日時点でCVE-2026-15748の掲載は確認できませんでした。

ただし、KEV未掲載や攻撃未確認は「悪用できない」という意味ではありません。技術情報が公表された後に攻撃が始まるケースもあるため、悪用観測を待って更新する運用は避けるべきです。

SecurityWeekの「30万サイト」は被害件数ではない

SecurityWeekは今回、「300,000 WordPress Sites Potentially Exposed」と報じています。

この数字は、Forminatorの有効インストール数が60万以上あり、当時のWordPress.orgのバージョン分布では約半数が脆弱なバージョンを利用していたことを基にした推計です。

したがって、30万サイトについて確認されているのは「脆弱バージョンを利用している可能性」であり、「攻撃されたサイト」「侵害されたサイト」の件数ではありません。

また、前述のとおり、脆弱バージョンを利用していても、フォーム内に必要なフィールドが存在しなければ今回の攻撃条件を満たしません。

記事や社内報告でこの数字を扱う場合は、「30万サイトが被害」「30万サイトでRCE」とせず、「SecurityWeekは30万超が脆弱版を利用している可能性があると推計」と区別する必要があります。

Forminatorでは過去にも重大な脆弱性

Forminatorでは過去にも、外部から悪用可能な重大な脆弱性が公表されています。

2025年には、未認証の攻撃者が任意のファイルを削除できるCVE-2025-6463が公表されました。重要なWordPress設定ファイルを削除されることで、状況によってはサイト侵害につながる可能性がある問題でした。

セキュリティ対策Labでは、「WordPressのForminator プラグインに脆弱性-60万以上のWordPressサイトへ影響（CVE-2025-6463）」で当時の影響と修正版を整理しています。

また、2024年にもForminatorで複数の脆弱性が公表されており、「WordPress用プラグイン『Forminator』で複数の脆弱性が発生」で取り上げています。

同じプラグインで繰り返し脆弱性が見つかっていることからも、WordPress運用では「導入時に安全性を確認したから終わり」ではなく、プラグイン単位で継続的に更新状況を確認する必要があります。

WordPress管理者が確認すべき対応

Forminatorを利用している場合は、まず現在のバージョンを確認します。

1.56.1以前であればCVE-2026-15748の影響を受けるため、1.56.2以上へ更新する必要があります。8月20日時点では1.57.1が公開されています。

更新後は、Forminatorで作成しているフォームのうち、ファイルアップロード機能を利用しているものを把握します。特にFile UploadとSelectを同じフォームで使用していた環境は、今回の脆弱性の成立条件に該当するため優先して確認します。

独自のファイル保存先を設定している場合は、その保存先でスクリプト実行が無効化されているかも確認対象です。

さらに、更新前の期間に不審なファイルがアップロードされていないか、WebサーバーやWordPressのログに異常がないか、不審な管理者アカウントや改ざんがないかも確認する必要があります。

公式なIOCは公表されていないため、特定のファイル名だけを探すのではなく、通常とは異なるアップロード、ファイル作成、PHP実行、管理画面へのアクセスなどを時系列で確認する方が適切です。

情報システム部門への示唆

WordPressサイトを外部制作会社や事業部門が個別に管理している企業では、プラグイン脆弱性の対応が遅れやすくなります。

まず、社内で公開しているWordPressサイトと、そのサイトに導入されているプラグインの一覧を把握できる状態にする必要があります。

今回のように60万以上のサイトで利用される一般的なプラグインでも、認証不要でサイト侵害につながる脆弱性が発生します。WordPress本体だけを自動更新していても、プラグインが古ければ攻撃面は残ります。

外部委託しているサイトについても、「保守契約がある」ことだけでなく、重大なCVEが公開された際に誰が検知し、何時間・何日以内に更新するのかを確認しておくことが重要です。

また、更新可否の判断をCVSSだけで行わないことも必要です。

CVE-2026-15748はCVSS 9.8ですが、実際の悪用にはフォーム構成などの条件があります。一方で、未認証の外部攻撃者から到達でき、条件を満たせばRCEへ発展するため、公開Webサイトでは優先度の高い更新対象です。

「悪用条件があるから後回し」にするのではなく、自社環境がその条件に該当するかを確認しながら、修正版への更新を進める運用が求められます。

関連記事

WordPressのForminator プラグインに脆弱性-60万以上のWordPressサイトへ影響（CVE-2025-6463）

2025年にForminatorで公表された、未認証の任意ファイル削除脆弱性について、影響バージョンと修正版を整理しています。

WordPress用プラグイン「Forminator」で複数の脆弱性が発生

2024年にForminatorで公表された複数の脆弱性について整理しています。

出典

• 600,000 WordPress Sites Affected by Arbitrary File Upload Vulnerability in Forminator Forms WordPress Plugin – Wordfence
• CVE-2026-15748 – NVD
• Forminator Forms – Contact Form, Payment Form & Custom Form Builder – WordPress.org
• GHSA-3p88-69p6-f6mj – GitHub Advisory Database
• Known Exploited Vulnerabilities Catalog – CISA