The Hacker Newsの報道によれば、攻撃者がWordPressプラグインSuper Forms（CVE-2026-14894）およびElementor Pro Pro版（CVE-2026-32475）の任意のファイルアップロード脆弱性を実環境で悪用し、PHPウェブシェルを設置してサイト全体の乗っ取りを試みている。観測された攻撃試行の総数は44万件を超える。WordPressを本番運用する個人開発者にとって、認証情報やwp-config.phpの流出に直結する重大事象である。
攻撃の構造と到達点
いずれのCVEもエントリポイントは「未認証リクエストから到達できるファイルアップロード処理」である。Super FormsとElementor Proの該当機能は、管理画面を経由せずともPOSTするだけでPHPファイルを受け入れてしまう。アップロード成功後はそのファイルがそのままPHP実行コンテキストで動作し、任意のコマンドが走る状態となる。
結果は明白である。wp-content/uploads配下に置かれたシェルを起点に、データベース資格情報の抽出、管理者ユーザーの追加登録、wp-config.phpの改ざん、cron経由の永続化までが一気通貫で可能となる。フォーム送信という正規の入口を使う以上、レートリミットやログイン監視だけでは遮断しにくい点が厄介である。
権限昇格系の脆弱性も並行して報告されている
同時期に別組織からも別のCVEが公表されている。IONIXによれば、Authorizerプラグイン3.15.1以下に影響するCVE-2026-81294は、未認証で管理者権限を取得できる権限昇格の欠陥である。SentinelOneもUltimate MemberのCVE-2026-19423について技術分析を公開しており、いずれもユーザー操作なしで管理者ロールを付与される構造となっている。
これら三件に共通するのは、認証フローをバイパスする性質を持つ点である。二要素認証やログインURLの限定では防げず、プラグイン側のパッチ適用が唯一の根本対策となる。
個人開発者が即座に確認する項目
まずプラグインの導入有無を棚卸しする。Super Forms、Elementor Pro、Authorizer、Ultimate Memberのいずれかを使う構成であれば、公式changelogでパッチ済みバージョンを確認し、速やかにアップデートを適用する。自動更新を有効化していても、Pro系プラグインはライセンス認証が絡むため手動でのバージョン確認が必要である。
次にWAFレベルでPHP拡張子のアップロードを遮断できるか検証する。Nginxであればlocation ~* \.php$を uploads配下で無効化し、Apacheであれば.htaccessでphp_flag engine offを設定するだけでも、攻撃成功率を大きく下げられる。
最後にアップロードディレクトリの実行権限そのものを切る。wp-content/uploads配下ではPHP実行が本来不要であり、ここでphp_admin_value engine off相当の設定を入れると、仮にファイルが置かれても構造的に実行できない状態へ移行できる。
CI/CD側の補強材料もある。GitHub Actionsの更新で、runner version deprecationスケジュールを取得するREST API、Dependabot向けに最小権限化を可能にするvulnerability-alerts権限、reusable workflows向けの新しいjob contextプロパティが順次利用可能となっている。WordPressのデプロイをGitHub Actionsで組んでいる場合、GITHUB_TOKENの権限を再点検する直接の理由となる。
依存プラグインの数が増えるほど攻撃面は拡大する。管理画面を持たないエンドポイントを境界とする以上、コードと権限設定の二段で塞ぐのが最短経路である。