何が起きたか
お問い合わせフォームのプラグイン「Ninja Forms」の脆弱性（CVE-2026-94504）を使った攻撃が、2026 年 10 月 5 日から観測されています（Patchstack の報告）。
フォームの送信内容に不正なスクリプトを仕込まれ、管理者が管理画面で送信内容を開いたときに実行される、というものです。ログインしていない人でもフォームから送り込めます。
攻撃のあとに残されるもの
報告では、攻撃のあとに次のものが残されていました。プラグインを削除するだけでは消えません。
- 不正なプラグイン
- ユーザー一覧に表示されない管理者アカウント
- ログインなしで使えるファイル管理の仕組み
対象と修正版
- 対象: Ninja Forms 3.15.3 以下
- 修正版: 3.15.4（その後の 3.15.5 / 3.15.6 にもセキュリティの修正があります）
- 深刻度: CVSS 7.1（Patchstack）／ 7.2（NVD）
確認すること
- Ninja Forms を最新版（3.15.6 以降）に更新する
- 見覚えのないプラグインや管理者アカウントがないか確かめる
- 心当たりがある場合は、侵入されたものとして調べる（更新だけでは元に戻りません）
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。