Hikosachi 開発チームです。
直近で報じられたWordPress関連のセキュリティニュースをまとめてご紹介します。
1. WordPress.org、プラグインリリースの自動セキュリティレビューを導入
2026年9月9日、WordPress.org は公式ブログ「Make WordPress Plugins」にて、プラグインの新バージョンが WordPress.org の更新APIを通じて配布される前に、自動でセキュリティ解析を行う仕組みを導入したと発表しました。
AIモデルと Jetpack Scan によってリリースが解析され、セキュリティスコアが付与されます。
高リスクと判定されたリリースは自動的に配布がブロックされる仕組みです。
- 影響を受けるプラグイン・バージョン：WordPress.org でホストされる全プラグインの新規リリースが対象
- サイト運営者への影響：セキュリティリスクのあるプラグイン更新が事前に検出・ブロックされるため、今後はより安全な状態でアップデートを受け取れる見込みです。特別な対応は不要です
- プラグイン開発者への影響：リリースがブロックされた場合は指摘された問題を修正し、新バージョンを再リリースする必要があります
参照元：Make WordPress Plugins「Automated security review for plugin releases」
2. Super Forms / Elementor Pro の重大脆弱性、攻撃が継続中
Wordfence の報告（2026年9月4日公開、The Hacker News 等で報道）によると、フォームプラグイン「Super Forms」および「Elementor Pro」に存在する任意ファイルアップロードの脆弱性を狙った攻撃が、合計44万件以上確認されています。いずれも認証不要で悪用可能な深刻な脆弱性です。
- Super Forms – Drag & Drop Form Builder：CVE-2026-14894（CVSS 9.8）。
ファイルタイプ検証の不備により、未認証の攻撃者が実行可能なPHPファイルを含む任意のファイルをアップロード可能。6.3.314 以降で修正済み。攻撃では admin-ajax.php にBase64エンコードしたPHPペイロードを送信し、Webシェルを設置する手口が確認されています。 - Elementor Pro：CVE-2026-32475（CVSS 9.0〜9.8）。
ファイルアップロード機能を持つフォームウィジェットを含む公開ページが対象で、アップロードフィールドを配列として送信することで検証を回避し、PHPファイルを設置される手口。4.2.2 以降で修正済み。
対応策：該当プラグインを直ちに最新版へアップデートしてください。
すでに侵害された可能性がある場合は、/wp-content/uploads/ 配下や最近変更されたPHPファイルに見覚えのないものが無いか確認することをWordfenceは推奨しています。
参照元：The Hacker News「Over 440,000 Exploit Attempts Target Super Forms and Elementor Pro RCE Flaws」
まとめ
今回は「配布前チェックの強化」という前向きな仕組みの発表と、既知の重大脆弱性に対する攻撃継続という2つの動きが見られました。ご利用中のサイトで Super Forms または Elementor Pro を使用している場合は、バージョンの確認とアップデートを優先的にご検討ください。
Hikosachi では、こうした攻撃の兆候を含む不審なアクセスを引き続き監視し、検知情報を共有してまいります。
