Elementor Proの重大脆弱性を積極的に悪用 — Wordfenceが19万件超の攻撃を遮断、CVE-2026-32475は未認証でRCE・サイト乗っ取りのおそれ

WordPress向けセキュリティ企業Wordfenceは2026年9月2日、人気ページビルダープラグイン「Elementor Pro」の重大な脆弱性（CVE-2026-32475）が公開当日から積極的に悪用されていると公表した。同社のファイアウォールは既に19万件を超える攻撃試行を遮断している。Elementor Proは600万を超えるサイトで利用されており、日本でもWordPressで企業サイトやECサイトを運用する組織に影響が及び得る。修正版は公開済みである。

脆弱性の概要 — 未認証でPHPを設置されRCEに

CVE-2026-32475は、Elementor ProのFormウィジェットにおけるファイル送信欄の検証不備による「未認証の任意ファイルアップロード」の脆弱性である。CVSS基本値は9.8（Critical）と評価されている。影響を受けるのはElementor Pro 4.2.1以前の全バージョンで、修正版4.2.2は2026年8月19日に公開済みである。Wordfenceは同日に自社の脆弱性データベースでも公開し、発見者のTin Pham氏（TF1T）とAustin Ginder氏に15,600ドルの報奨金を支払ったと説明している。

原因は、ファイル送信欄の検証ループが配列の先頭要素でアップロードなし（UPLOAD_ERR_NO_FILE）を検出すると、残りの要素の検証を続行せずに処理を打ち切る（本来の「continue」ではなく「return」で抜ける）実装にあった。その結果、攻撃者は送信欄を配列として送り、先頭に空の要素、後続に拡張子.phpの悪性ファイルを添えることで、拡張子や形式の検査をすり抜けてサーバー上に実行可能なPHPファイルを書き込める。書き込まれたPHPに直接アクセスされると、攻撃者はサーバー上で任意のコマンドを実行できる（リモートコード実行、RCE）。ウェブシェルを設置されればサイト全体の乗っ取り、情報窃取、さらなる攻撃の足場化につながる。

悪用の成立には、対象サイトが「必須ではないファイル送信欄」を含むFormウィジェットを公開済みのページに設置していることが条件となる。該当しないサイトではこの経路の攻撃は成立しない。

悪用の実態 — 公開当日から攻撃開始、19万件超を遮断

Wordfenceの観測によれば、攻撃者は脆弱性が公開された8月19日当日から標的サイトへの攻撃を開始し、8月19日から23日にかけて最も激しい活動が見られた。同社ファイアウォールが遮断した攻撃試行は累計19万件を超えている。

Wordfenceが公開した実際の攻撃要求では、/wp-admin/admin-ajax.php に対して elementor_pro_forms_send_form という処理名でフォームを送信し、ファイル送信欄を配列化して1つ目の要素を空、2つ目の要素にPHP製ウェブシェルを添付していた。設置先は /wp-content/uploads/elementor/forms/ 配下で、ランダムなファイル名に攻撃者指定の.php拡張子が付いた形で保存され、直接URL指定で実行されるという。

遮断数が多い攻撃元IPアドレスとして、Wordfenceは次を挙げている（いずれも同社ファイアウォールでの遮断数）。

• 2602:fa59:10:7a1::1 — 2万8,000件超
• 185.196.220[.]85 — 2万3,800件超
• 103.84.230[.]85 — 2万3,600件超
• 103.90.148[.]202 — 1万5,300件超
• 216.126.225[.]208 — 1万5,000件超

侵害の確認方法 — フォーム送信物置き場のPHPが決め手

Wordfenceは、攻撃が成功すると /wp-content/uploads/elementor/forms/ に実行可能なPHPファイルが書き込まれると説明している。この場所は本来フォームの送信物を保管するだけであり、PHPファイルが存在すること自体が侵害の強い兆候となる。同社はこのディレクトリの点検を推奨している。

あわせて、ウェブサーバーのアクセスログで /wp-admin/admin-ajax.php への要求のうち処理名 elementor_pro_forms_send_form を含むもの、特に上記の攻撃元IPからのものを調べるよう呼びかけている。ただし、ログに痕跡が見つからないことが非侵害を保証するものではないとも注意している。証跡が見つかった場合は、不審なファイルの除去とバックドアの有無の点検が必要になる。

対応 — Wordfenceは4.2.2への更新と防御設定の有効化を推奨

Wordfenceは、Elementor Proを利用するサイトに対し、修正版4.2.2への速やかな更新を強く促している。同社ファイアウォールの利用者は、組み込みの悪性ファイルアップロード防御でこの脆弱性の悪用を遮断できるとしているが、防御の前提として管理画面の「Disable Code Execution for Uploads directory」（アップロード用ディレクトリでのコード実行を無効化）の設定を有効にするよう推奨している。

同社はまた、Elementor Proを使う知人や取引先がいる場合はこの注意喚起を共有するよう呼びかけている。侵害が疑われる場合の復旧支援として、同社はWordfence Careによるインシデント対応や、24時間365日・1時間応答のWordfence Responseを提供していると説明している。

日本でWordPressとElementor Proでサイトを運用している組織は、まずプラグインの版数が4.2.2以降かを確認し、Formウィジェットにファイル送信欄を設置している場合は上記の侵害兆候の点検を併せて行うことが望ましい。

出典

• Wordfence, “Attackers Actively Exploiting Critical Vulnerability in Elementor Pro Plugin” (2026-09-02) — https://www.wordfence.com/blog/2026/09/attackers-actively-exploiting-critical-vulnerability-in-elementor-pro-plugin/