Ninja Forms のファイル添付アドオンに、ログインなしでファイルを置かれる脆弱性（CVE-2026-0740）

何が起きたか

お問い合わせフォームのプラグイン「Ninja Forms」のファイル添付アドオン（Ninja Forms File Uploads）に、ログインしていない人が任意のファイルを置けてしまう脆弱性がありました（CVE-2026-0740、CVSS 9.8）。外部からプログラムを実行されることにつながるおそれがあります。

攻撃に使われているという報告も出ています（Wordfence）。

対象と修正版

• 対象: Ninja Forms File Uploads 3.3.26 以下（3.3.25 の修正は不完全でした）
• 修正版: 3.3.27

確認すること

• アドオンを 3.3.27 以降に更新する（有料のアドオンは自動で更新されないことがあります）

出典

• NVD（CVE-2026-0740）
• Wordfence

ご自身での確認が難しい場合

公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。