概要

Contact Form 7の拡張プラグイン「Ultra Addons for Contact Form 7」のPDFジェネレーター機能に、深刻な脆弱性が発見されました（CVE-2026-102435、CVSS 9.8）。

この脆弱性を悪用すると、認証なしで任意のファイルを削除できます。攻撃者が wp-config.php を削除した場合、WordPressが再インストール状態になり、そのままリモートコード実行（RCE）につながる危険性があります。

脆弱性・脅威の詳細

脆弱なのはPDFジェネレーターアドオン内の _getObjAttr 関数で、ファイルパスの検証が不十分なために起きます。

攻撃の流れは以下のとおりです。

• 攻撃者がPDFジェネレーター機能のエンドポイントに細工したリクエストを送信
• サーバー上の任意のファイルを削除（wp-config.php を含む）
• wp-config.php が消えるとWordPressが初期セットアップ画面を表示
• 攻撃者が新しい管理者アカウントを作成し、サイトを乗っ取る

• CVE番号：CVE-2026-102435
• CVSSスコア：9.8（Critical）
• 影響バージョン：Ultra Addons for Contact Form 7 3.5.54以下
• 攻撃の前提条件：PDFジェネレーターアドオンが有効、かつPDF生成フォームが設定されている
• 認証：不要（未認証での攻撃が可能）

影響を受けるサイト

以下の条件に当てはまるWordPressサイトが対象です。

• 「Ultra Addons for Contact Form 7」バージョン3.5.54以下をインストールしているサイト
• PDFジェネレーターアドオンが有効になっているサイト
• Contact Form 7でPDF生成フォームを設置しているサイト

推奨される対策

• 即時アップデートまたは無効化
  修正バージョンが提供されている場合は最新版に更新してください。修正版が未リリースの場合は、プラグインを即時無効化・削除することを推奨します。
• PDFジェネレーターアドオンの確認
  このアドオンが有効かどうか不明な場合はプラグイン全体を無効化し、Webエンジニアに調査を依頼してください。
• wp-config.php の存在確認
  サーバーにアクセスし、wp-config.php が残っているか確認してください。削除されていた場合はWordPressが再セットアップ状態になっている可能性があります。
• 管理者アカウントの確認
  見覚えのない管理者アカウントが追加されていないか、WordPress管理画面 → ユーザーで確認してください。

参考情報

出典：The Small Business Cybersecurity Guy — WordPress Vulnerabilities November 2026
NVD：CVE-2026-102435 詳細