WordPress用Super Formsの重大欠陥を攻撃者が積極的に悪用 — 未認証でWebシェル設置、25万件超を遮断とWordfenceが報告

WordPress向けセキュリティ企業Wordfenceは2026年9月3日、WordPress用フォーム生成プラグイン Super Forms（Drag & Drop Form Builder）の重大な脆弱性が積極的に悪用されていると報告した。この脆弱性は CVE-2026-14894（CVSS 9.8、緊急）として登録された未認証の任意ファイルアップロードで、ログインしていない攻撃者がPHPのバックドアを設置してサイトを遠隔操作できる。影響を受けるのは 6.3.313以前で、修正版 6.3.314は2026年7月8日に公開済みだ。

認証なし2リクエストでWebシェルを設置できる仕組み

脆弱性はフォーム送信処理の submit_form 関数にあり、ログイン不要のAJAX窓口から到達できる。ファイル添付欄に datauristring 形式の値を送ると、プラグインは中身をBase64復号して拡張子の検証も権限確認もなく攻撃者指定のファイル名でディスクに書き込む。.php 拡張子を指定すれば実行可能なPHPファイルとして保存され、攻撃者はそのURLに直接アクセスしてWebシェルを動かせる。

本来の関門であるはずのnonce（使い捨て照合値）も実質的な防壁になっていない。別途用意されたログイン不要の super_create_nonce 窓口に1回問い合わせれば正規のnonceとセッションCookieが手に入るため、攻撃は未認証の2回のHTTPリクエストで完結すると同社は説明している。発見者のAndrea Bocchetti氏が報告し、Wordfenceは7月9日に脆弱性データベースで公開した。

実際の攻撃と25万件超の遮断

Wordfenceの記録では、悪用は2026年7月14日に始まった。同社がファイアウォール規則を有料版利用者へ配布したのと同じ日で、無料版への配布は30日後の8月13日だった。公表時点で同社のファイアウォールは25万件超の悪用試行を遮断している。

同社が公開した攻撃例では、攻撃者は Mushr00w_upl.php というファイル名でPHP製アップローダーを設置した。復号した中身はブラウザから追加ファイルを持ち込める簡素な画面で、AIが生成したような作りだったという。「Mushr00w」の署名は、マレーシア保健省サイトの改ざんで使われたものと共通するが、同署名の使い回しは容易だとして、同社は特定集団の関与を断定していない。設置に成功したアップローダーは、追加のシェルやスパム、フィッシングキットなどを持ち込む足場に使われる。

Super Formsの有効導入数は約1万3000件と推定されている。Wordfenceは、悪用が継続している現状を踏まえ、最新版Super Forms（執筆時点で6.3.314）への更新を速やかに行うよう呼びかけている。

出典

• Attackers Actively Exploiting Critical Vulnerability in Super Forms Plugin（Wordfence、2026年9月3日）