WordPressのフォーム プラグイン「Super Forms」の脆弱性 CVE-2026-14894が25万件超のサイバー攻撃への悪用を試行

WordPress向けフォーム作成プラグイン「Super Forms – Drag & Drop Form Builder」の脆弱性「CVE-2026-14894」を狙った攻撃が活発化しています。

Wordfenceは2026年9月3日、同社のファイアウォールでCVE-2026-14894を狙うサイバー攻撃への悪用試行を25万件以上ブロックしたと公表しました。攻撃は7月14日から観測され、8月18日から25日にかけて特に多く確認されています。

CVE-2026-14894は、Super Forms 6.3.313以前に存在する認証不要の任意ファイルアップロード脆弱性です。ファイル種別などの検証が不十分なため、外部の第三者が実行可能なファイルをサーバーへ配置し、条件を満たす環境ではリモートコード実行（RCE）につながる可能性があります。

CVSS v3.1は9.8（Critical）で、修正版は6.3.314です。Wordfenceによると開発元は7月8日までに修正版を公開しており、開発元GitHubの変更履歴では7月7日付でCVE-2026-14894へのセキュリティ修正が記録されています。

9月7日時点でCISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載は確認できませんが、Wordfenceは実際の攻撃トラフィックを継続的に観測しています。CISA KEVへの追加を待たず、影響バージョンを利用しているサイトは更新と侵害確認を優先する必要があります。

CVE-2026-14894のサマリー

• 【確認済み】CVE-2026-14894は「Super Forms – Drag & Drop Form Builder」の任意ファイルアップロード脆弱性です。
• 【確認済み】影響バージョンは6.3.313以前です。
• 【確認済み】修正版は6.3.314です。
• 【確認済み】CVSS v3.1は9.8（Critical）です。
• 【確認済み】CWEはCWE-434「Unrestricted Upload of File with Dangerous Type」です。
• 【確認済み】攻撃にWordPressへのログインは必要ありません。
• 【確認済み】ユーザー操作も必要ありません。
• 【確認済み】悪用に成功すると実行可能なファイルを配置でき、RCEやサイト全体の侵害につながる可能性があります。
• 【確認済み】Wordfenceは2026年7月14日から悪用試行を観測しています。
• 【確認済み】9月3日時点でWordfence Firewallは25万件超の悪用試行をブロックしました。
• 【確認済み】特に8月18日から25日に攻撃が集中しました。
• 【確認済み】Wordfenceは実際の攻撃でWebシェルのアップロード試行を確認しています。
• 【確認済み】公開Nucleiテンプレートが存在し、脆弱性を検証可能な公開情報も出ています。
• 【確認できず】9月7日時点でCISA KEV Catalogへの掲載は確認できませんでした。
• 【確認できず】攻撃によって実際に侵害されたWordPressサイト数は公表されていません。
• 【注意】「25万件超」はWordfenceがブロックしたリクエスト／悪用試行数であり、25万サイトが侵害されたという意味ではありません。

項目	内容
CVE	CVE-2026-14894
対象製品	Super Forms – Drag & Drop Form Builder
製品種別	WordPressプラグイン
影響バージョン	6.3.313以前
修正版	6.3.314
脆弱性	認証不要の任意ファイルアップロード
CWE	CWE-434
CVSS v3.1	9.8（Critical）
攻撃元	ネットワーク
認証	不要
ユーザー操作	不要
想定影響	実行可能ファイルの配置、RCE、サイト侵害
悪用確認	Wordfenceが7月14日から悪用試行を観測
攻撃試行	9月3日時点で25万件超をブロック
PoC／検証情報	公開情報あり、Nucleiテンプレートも確認
CISA KEV	9月7日時点で掲載を確認できず
主な対応	6.3.314以上へ更新し、既存侵害の有無を確認

CVE-2026-14894は未認証で任意ファイルをアップロード可能

CVE-2026-14894は、Super Formsのフォーム送信処理におけるファイル検証の不備です。

Wordfenceによると、脆弱なバージョンでは、フォームから受け取ったファイルデータをサーバーへ保存する際に、ファイル種別や拡張子などを十分に検証していませんでした。

さらに、この処理は認証されていない利用者から到達可能でした。

そのため、攻撃者はWordPressアカウントを持っていなくても、本来許可すべきでない実行可能ファイルをサーバーへ書き込める可能性があります。

CVSSベクトルは「AV/AC/PR/UI/S/C/I/A」で、ネットワーク経由、攻撃条件の複雑性は低い、事前権限不要、ユーザー操作不要と評価されています。

機密性・完全性・可用性への影響はいずれもHighです。

RCEからWordPressサイト全体の侵害につながる可能性

任意ファイルアップロード脆弱性で重要なのは、単に「ファイルを置ける」ことではありません。

Webサーバーが実行可能なPHPファイルなどを配置できた場合、そのファイルを介してサーバー上で任意コードを実行される可能性があります。

WordfenceはCVE-2026-14894について、悪用に成功した場合、管理者アカウントの作成、データの窃取、追加マルウェアの配置などにつながり、最終的にサイト全体を制御される可能性があると説明しています。

また、ファイル名の処理にも問題があり、サーバーが書き込み可能な範囲では、本来想定されたアップロード先以外へファイルを配置できる可能性も指摘されています。

ただし、本記事では悪用方法や具体的な攻撃リクエスト、ペイロードは記載しません。

修正版6.3.314でファイル処理を強化

Super Formsの開発元は、CVE-2026-14894を修正したバージョン6.3.314を公開しています。

開発元GitHubのコミットでは、「Security: harden form file-upload handling (CVE-2026-14894); v6.3.314」と記載されています。

修正では、サーバー側でのファイル書き込み処理について、ファイル名、実データ、保存先などの検証を強化しています。

開発元の変更履歴は6.3.314を7月7日付としています。一方、Wordfenceは完全な修正版が7月8日にリリースされたと記録しています。

日付表記には1日の差がありますが、影響バージョンと修正版については双方とも「6.3.313以前」「6.3.314」で一致しています。

利用者は少なくとも6.3.314以上の修正版へ更新する必要があります。

公開から5日後の7月14日には攻撃を観測

Wordfenceは脆弱性を7月9日に一般公開しました。

同社のテレメトリによると、その5日後となる7月14日にはCVE-2026-14894を狙う攻撃が始まっています。

9月3日時点でWordfence Firewallがブロックした悪用試行は25万件を超えました。

特に攻撃量が多かったのは8月18日から25日です。

Wordfenceが示した数字は、同社ファイアウォールで検知・ブロックしたリクエスト数です。そのため、攻撃者が25万の異なるサイトを侵害したことを示す数字ではありません。

また、Wordfenceの監視範囲外のサイトへの攻撃は含まれないため、インターネット全体の攻撃件数とも一致しません。

それでも、公開から短期間で自動化された大規模な悪用が始まっていることを示す重要なデータです。

攻撃ではWebシェルのアップロード試行を確認

Wordfenceは実際に観測した攻撃で、PHPベースのWebシェルを対象サイトへアップロードしようとする試行を確認しています。

特に「Mushr00w_upl.php」というファイル名が繰り返し観測されました。

Wordfenceは、このファイル名を強い侵害指標の一つとして挙げています。

ただし、ファイル名は攻撃者が自由に変更できるため、「Mushr00w_upl.phpが存在しないから安全」と判断することはできません。

Wordfenceは、7月8日以降に作成・変更された不審なPHPファイルや、身に覚えのない管理者アカウント、バックドアなどを確認するよう推奨しています。

なお、WordfenceはこのWebシェルで使われている名称が過去の別攻撃でも見られたとしていますが、名称だけで特定の攻撃グループへ帰属させることはできないと注意しています。

PoCや検証用テンプレートも公開済み

9月7日時点では、CVE-2026-14894を対象とした公開NucleiテンプレートがProjectDiscoveryの公式リポジトリに登録されています。

Wordfenceも9月3日の一次調査で、実際に観測した攻撃リクエストのサンプルを公開しています。

このため、脆弱性を検証・再現するための公開情報は存在する状態です。

公開PoCやスキャナテンプレートが存在すると、脆弱なサイトの探索や悪用が自動化されやすくなります。

ただし、本記事では攻撃コード、リクエスト形式、具体的なペイロードなど、悪用につながる情報は掲載しません。

Wordfence有料版は7月14日、無料版は8月13日にルール配信

Wordfenceは7月14日、Wordfence Premium、Care、Responseの利用者へCVE-2026-14894の既知の悪用をブロックするファイアウォールルールを配信しました。

無料版Wordfenceの利用者には30日後の8月13日に同じ保護が提供されています。

ただし、Wordfence自身もWAFルールだけに依存せず、Super Forms本体を6.3.314以上へ更新するよう強く推奨しています。

WAFは悪用試行を遮断する補助的な防御であり、脆弱性そのものを修正するものではありません。

9月7日時点でCISA KEV掲載は確認できず

9月7日時点で、CVE-2026-14894がCISA Known Exploited Vulnerabilities Catalogへ掲載されていることは確認できませんでした。

NVDに記録されたCISAのSSVC評価は7月10日時点で「Exploitation: none」でしたが、これはWordfenceが攻撃を観測し始めた7月14日より前の評価です。

現在はWordfenceが大規模な悪用試行を実際に確認しているため、「NVDにexploitation noneとあるから悪用されていない」と判断するのは誤りです。

CISA KEVへの掲載には確認・登録まで時間差が生じる場合があります。

実悪用を示す一次テレメトリが存在する以上、KEV登録をパッチ適用の前提にするべきではありません。

同種のForminator脆弱性も2026年に確認

WordPressのフォームプラグインでは2026年、別製品でも認証不要の任意ファイルアップロード脆弱性が確認されています。

セキュリティ対策Labでは、60万以上のサイトで利用される「Forminator Forms」に存在したCVE-2026-15748についても取り上げています。

関連記事：WordPress「Forminator」にCVSS 9.8の脆弱性　未認証で任意ファイルアップロード、30万超が未更新の可能性

ForminatorのCVE-2026-15748と今回のSuper FormsのCVE-2026-14894はいずれもCWE-434に分類されますが、脆弱性が成立する条件やファイル保存処理は異なります。

同一の脆弱性や攻撃キャンペーンとして扱うことはできません。

共通するのは、インターネット上から誰でも利用できるフォーム機能のファイル処理が、WordPressサイト全体の侵害につながり得る点です。

WordPress管理者への示唆

Super Formsを利用している場合は、最初にバージョンを確認してください。

6.3.313以前であればCVE-2026-14894の影響を受けるため、6.3.314以上の修正版へ更新する必要があります。

今回のように実悪用がすでに始まっている脆弱性では、「アップデートしたから対応完了」とするのも不十分です。

更新前に攻撃を受けていた可能性を考慮し、Webサイトの侵害確認も実施する必要があります。

Wordfenceは、7月8日以降に追加・変更された不審なPHPファイル、未知の管理者アカウント、バックドアなどを確認するよう推奨しています。

IOCとして公開されている「Mushr00w_upl.php」の有無も確認対象になりますが、このファイル名だけに限定してはいけません。

また、Webサーバーのアクセスログ、WordPressの管理者アカウント、プラグイン・テーマの変更履歴、外部への不審通信なども確認してください。

侵害の兆候が見つかった場合は、不審ファイルの削除だけで済ませず、WordPress Core、プラグイン、テーマを含めて整合性を確認し、管理者パスワード、データベース認証情報、APIキーなどの認証情報も必要に応じてローテーションする必要があります。

フォームプラグインは顧客・問い合わせ・採用情報などを直接扱うケースが多く、侵害後には個人情報へのアクセス有無も調査対象になります。

サイト運用者は、WordPress Coreだけでなく、プラグインの脆弱性情報と更新状況を継続的に監視し、インターネットから未認証で到達可能な機能を特に優先して管理することが重要です。

出典

• Attackers Actively Exploiting Critical Vulnerability in Super Forms Plugin – Wordfence
• Super Forms <= 6.3.313 – Unauthenticated Arbitrary File Upload – Wordfence Intelligence
• Security: harden form file-upload handling (CVE-2026-14894); v6.3.314 – Super Forms GitHub
• CVE-2026-14894 Detail – NVD
• CVE-2026-14894 Nuclei Template – ProjectDiscovery
• Known Exploited Vulnerabilities Catalog – CISA
• Super Forms – Official Website
• Hackers Exploit Critical Super Forms WordPress Flaw to Upload Webshells and Execute Code – CyberPress
• WordPress「Forminator」にCVSS 9.8の脆弱性　未認証で任意ファイルアップロード、30万超が未更新の可能性 – セキュリティ対策Lab