何が起きたか
国内で広く使われているお問い合わせフォームのプラグイン「MW WP Form」（約 20 万サイト）に、ログインしていない人がサーバー上のファイルを移動できる脆弱性が 2 件ありました（CVE-2026-4347 / CVE-2026-5436、CVSS 8.1）。
フォームにファイル添付欄があり、「問い合わせデータをデータベースに保存」が有効な場合、WordPress の設定ファイルを動かされ、サイトの乗っ取りにつながるおそれがあります。歯科医院・士業事務所のサイトでもよく使われているプラグインです。
対象と修正版
- 対象: 5.1.1 以下
- 修正版: 5.1.2（その後も修正が続いており、現在は 5.1.8）
確認すること
- MW WP Form を最新版に更新する
- フォームにファイル添付欄を置いているかを確かめる
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。