Hikosachi 開発チームです。
今回は、ThemeForestで非常に人気の高い商用テーマ「Avada」に同梱されるページビルダープラグイン「Avada (Fusion) Builder」で見つかった、未認証のまま任意のWordPressアクションを呼び出せてしまう脆弱性についてお伝えします。
セキュリティ企業Wordfenceが報告したもので、CVSSスコアは9.1（Critical相当）と高く、広く使われているテーマだけに該当環境は確認しておくことをおすすめします。
今回のポイント
- Avada (Fusion) Builder バージョン3.16.1以前に、未認証の第三者が任意のWordPressアクションフックを呼び出せてしまう脆弱性（CVE-2026-97670、CVSS 9.1）が見つかった。修正版は3.16.2。
- 原因は、Avada/Fusion Forms機能の通知メールテンプレートに含まれる動的データトークンの処理に権限チェックが欠けていたこと。フォーム送信内容に細工をすることで悪用できる。
- 悪用には「AJAX送信の公開フォームがあり、その通知メールテンプレートに[all_fields]等のプレースホルダーが含まれている」という条件が必要だが、これはAvadaフォームの既定の設定でよく見られる構成とされている。
- 実際に確認された影響としては、WordPress標準のアクションフック（wp_scheduled_delete）を呼び出し、ゴミ箱内の投稿・固定ページ・コメントを恒久的に削除できてしまうケースが報告されている。報告時点（2026年10月上旬〜中旬）では実際の悪用の広がりは確認されていない。
1. Avada (Fusion) Builder「CVE-2026-97670」の未認証アクション呼び出し脆弱性
「Avada」はThemeForestで長年にわたり高い人気を誇る有料WordPressテーマで、その中核をなすページビルダー機能が「Fusion Builder」です。
問い合わせフォームなどを作成する「Avada Forms」には、送信内容をメール通知する際に差し込む「動的データトークン」という仕組みがありますが、このトークンの一部（アクションフックを指定するもの）について、呼び出し前の権限チェックが行われていませんでした。
そのため、ログインしていない第三者でもフォーム送信データを細工するだけで、本来は管理者操作等に紐づくWordPressのアクションフックを任意に実行できてしまいます。
この脆弱性が実際に悪用されるには、「AJAX送信に対応した公開フォームが設置されており、その通知メールのテンプレートに[all_fields]のような、送信内容をまとめて展開するプレースホルダー（または特定フィールドを明示的に展開する記法）が含まれている」という条件が必要です。
Avadaのフォーム機能ではこの構成が既定でよく使われるため、対象になりうるサイトは少なくないとみられます。
Wordfenceが確認した実証ケースでは、WordPress標準の「wp_scheduled_delete」というアクションフックを呼び出すことで、ゴミ箱に入っている投稿・固定ページ・コメントを復元不可能な形で削除できてしまうことが報告されています。
呼び出せるアクションフックの性質上、削除以外の挙動を引き起こせる可能性も理論上は否定できないため、脆弱性の分類はコードインジェクション（CWE-94）とされています。
なお、現時点の主要な情報源では、この脆弱性が実際に悪用された広範な事例は報告されていません。
対応策
Avada (Fusion) Builderをバージョン3.16.2以降へ至急更新してください。
あわせて、Avadaテーマ本体も提供されている最新版へ更新することをおすすめします。
更新に加えて、(1) 公開しているAvadaフォームのAJAX送信設定と通知メールのテンプレート内容、(2) ゴミ箱内の投稿・固定ページ・コメントに見覚えのない削除がないか、を確認してください。
心当たりがある場合はバックアップからの復元もご検討ください。
まとめ
Avadaテーマ・Fusion Builderをお使いの場合は、まずバージョンの確認と更新を優先してください。
未認証のまま悪用できる脆弱性は、フォームのような外部からの入力を受け付ける機能に潜みやすいため、公開フォームの設定内容も定期的に見直すことをおすすめします。
サイトの挙動に不安がある場合や、ご自身での調査・対応が難しい場合は、アイネクシオ合同会社までお気軽にご相談ください。
