本文へスキップ
株式会社オブライト
Network & Infrastructure2026-11-09約16分で読めます

Contact Form 7 CVE-2026-114432ほか3件 — 11月9日の脆弱性まとめ（悪用確認0件）

WordPressのContact Form 7（1,000万サイト以上）6.2〜6.2.3に認証不要の任意ファイルアップロード。6.2.4へ更新、PoCは11月19日公開予定。NEC WinShareは修正モジュール適用、Craft CMSは5.11.2へ。Kyvernoは1.19.2へ。悪用確認は0件。

脆弱性情報まとめセキュリティITリスク対策CVE脆弱性WordPressWindows

最優先は WordPress のフォームプラグイン Contact Form 7 の CVE-2026-114432 である。 6.2 から 6.2.3 に、ログインなしで任意のファイルをアップロードされる欠陥があり、CVSS 3.1 は 9.8（Critical）、修正版は 6.2.4 である。有効インストール数は 1,000万以上と多い。現時点で悪用は確認されていないが、WPScan は11月19日に PoC（再現手順）を公開する予定である。今日やることは、自社サイトの Contact Form 7 の版を確認し、6.2.4 以降へ更新することだ。 NEC WebSAM WinShare を使う会社は、NEC が出した修正モジュールを適用する。Craft CMS と Kyverno にも更新が出ている。

11月9日（JST）に確認した WPScan、CVE レコード、Contact Form 7 の公式リリースノート、NEC のセキュリティ情報、GitHub のセキュリティアドバイザリに基づく。明記のない点は「公表されていない」とする。本日の4製品について、実環境での悪用は確認されておらず、CISA の KEV（悪用が確認された脆弱性の一覧）にも追加されていない。ただし CF7 は PoC の公開予定日が決まっているため、期限は実質的に11月19日までと考えるのがよい。

今日の脆弱性一覧

製品CVE深刻度（CVSS）悪用状況対処（修正版）
WordPress プラグイン Contact Form 7CVE-2026-1144329.8 Critical（CVSS 3.1）悪用なし。PoC は11月19日公開予定6.2.4 以降（現行最新は 6.2.4.1）
NEC WebSAM WinShareCVE-2026-113363 / CVE-2026-113364 / CVE-2026-1133629.3 / 9.3 / 8.5（いずれも CVSS 4.0）悪用の報告なしNEC が配布する修正モジュールを適用（版番号の公表なし）
Craft CMSCVE-2026-124427 / CVE-2026-1244309.8（3.1）・9.3（4.0） / 8.8（3.1）・8.7（4.0）悪用の報告なし5.11.2
KyvernoCVE-2026-1244409.9（CVSS 3.1）/ 9.4（CVSS 4.0）悪用の報告なし1.19.2（影響は 1.19.1 のみ）

1. Contact Form 7 CVE-2026-114432 — 認証なしで任意のファイルをアップロードされる（CVSS 9.8）

WPScan の記載（タイトルは「不正な UTF-8 ファイル名による認証なしの任意ファイルアップロード」）と CVE レコードによると、Contact Form 7 のファイル添付欄で、アップロードされたファイルの種類と拡張子が検証されない。さらに一時ファイルの削除処理に不備があり、ファイルがディスクに残る。ログインは不要で、遠隔から実行できる。深刻度は CVSS 3.1 で 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、弱点の種類は CWE-434（危険な種類のファイルの無制限アップロード）である。CISA-ADP の SSVC では、悪用は none、自動化は yes、技術的影響は total と評価されている。発見者は Shinya Murakami 氏である。

平易に言うと、問い合わせフォームの「ファイルを添付する」欄が、見知らぬ人にとってサーバーへファイルを置ける入口になり得る。置かれたファイルが何を引き起こすかは、サーバーの構成で変わる。

- 標準的な Debian / Ubuntu の Apache 構成（ディレクトリ一覧が有効で、.phar を PHP の処理に割り当てている）では、保存されたファイルを見つけて実行でき、サーバー上でコードを実行される（RCE）おそれがある
- nginx や、.htaccess による上書きが有効な Apache では、uploads ディレクトリへの任意ファイルの書き込みにとどまる。ただし HTML や SVG としてサイト自身のドメインから配信され、フィッシングや XSS に悪用され得る

影響を受ける版は 6.2 から 6.2.3 である（CVE レコードでは 6.2 以上 6.2.4 未満）。6.1.x 以前は対象外である。修正版は2026年10月29日公開の 6.2.4 で、WordPress.org の現行最新は同日公開の 6.2.4.1（6.2.4 の後に同梱ライブラリ FormDataTree-PHP を 2.0.10 に更新した版）である。6.2.4 以降なら修正済みである。WPScan への掲載は11月5日、CVE の公開は11月8日である。公式サイトでは、有効インストール数は1,000万以上とされている。

更新時の注意が1点ある。公式リリースノートによると、6.2.4 ではアップロードファイル名の検査が「禁止リスト方式」から「許可リスト方式」に変わった。特殊な拡張子のファイルを添付させているフォームは、更新後に受け付けられなくなる可能性がある。更新後は、添付ファイル付きのフォームでテスト送信をして確認する。

まず版を確認する。管理画面の「プラグイン」一覧に表示される版を見るか、サーバーで次のコマンドを実行する。WP-CLI が使えない場合は、制作会社や保守担当に確認を依頼する。

# 版と更新の有無を確認（WP-CLI）
wp plugin list --name=contact-form-7 --fields=name,version,update
wp plugin get contact-form-7 --field=version

# WP-CLI がない場合: プラグインファイルの Version 行を見る
grep "Version:" wp-content/plugins/contact-form-7/wp-contact-form-7.php

# 6.2.4 以降へ更新（本番では事前にバックアップを取る）
wp plugin update contact-form-7

すぐに更新できない間の一般的な備えは次のとおりである（ベンダーの公式回避策ではない）。ファイル添付欄のあるフォームを一時停止する（フォームから file タグを外す）、uploads ディレクトリで PHP の実行を禁止する、Apache のディレクトリ一覧を無効にする（Options -Indexes）、.phar の PHP ハンドラ割り当てを外す、WAF で遮断する、などである。

# Apache の例: uploads 配下で PHP 系ファイルの実行を拒否する（.htaccess）
<FilesMatch "\.(php|phar|phtml)$">
  Require all denied
</FilesMatch>

# nginx の例（サーバー設定に追加）
location ~* /wp-content/uploads/.*\.(php|phar)$ { deny all; }

すでに攻撃を受けていないかの痕跡確認も、一般的な手順として行える。uploads 配下、特に Contact Form 7 の一時保存先（既定は wp-content/uploads/wpcf7_uploads）に、想定外のファイルがないかを見る。見つかったからといって侵害と断定はできないが、心当たりのない .php や .phar があれば、保守担当に調査を依頼する。

# 10月以降に作られた、実行形式や HTML / SVG のファイルを探す
find wp-content/uploads -type f \( -name "*.php" -o -name "*.phar" -o -name "*.phtml" -o -name "*.html" -o -name "*.svg" \) -newermt 2026-10-01

詳しい確認手順と対処はこちら。WordPress のプラグイン更新を放置するリスクは、WordPress の保守を怠るリスクにまとめている。公式: WPScan、CVE レコード、Contact Form 7 6.2.4 リリースノート

2. NEC WebSAM WinShare CVE-2026-113363 ほか — 細工された通信で SYSTEM 権限を奪われ得る（CVSS 4.0 で 9.3）

NEC のセキュリティ情報 NV26-006（11月9日公開）によると、Windows 用のリモート操作ソフト WebSAM WinShare に3件の脆弱性がある。うち2件は認証不要で、ネットワーク越しに SYSTEM 権限（Windows で最も強い権限）を取得され得る。

- CVE-2026-113363（CVSS 4.0: 9.3）: 通信パケットの処理不備。細工されたパケットで、SYSTEM 権限の任意のコマンドを実行され得る。対象は Ver 7.2.0 から 7.5.0、Ver 7.6.0、Ver 7.7.0 から 7.7.2
- CVE-2026-113364（CVSS 4.0: 9.3）: データ受信処理のバッファオーバーフロー。細工されたパケットで、SYSTEM 権限の任意のコードを実行され得る。対象は Ver 7.5.0 以前、Ver 7.6.0、Ver 7.7.0 から 7.7.2
- CVE-2026-113362（CVSS 4.0: 8.5）: プログラムフォルダのアクセス制御の不備。一般ユーザー権限でログインした攻撃者が、遠隔操作の対象 PC で SYSTEM 権限を取得し得る（ローカルの欠陥）。対象は Ver 7.5.0 以前（Ver 7.3.3 を除く）、Ver 7.6.0、Ver 7.7.0 から 7.7.1

対処は、NEC サポートポータルで配布される修正モジュールの適用である（Ver 7.6 用と Ver 7.7 用があり、7.5.0 以下にも適用できる。ダウンロードにはサポートポータルへのログインが必要）。修正版の版番号は公表されておらず、修正モジュール方式である。実環境での悪用は報告されていない。発見者は、川田 柾浩 氏、富士通株式会社の Ruslan Sayfiev 氏と Denis Faiustov 氏である。

平易に言うと、WinShare を入れた PC に、細工したデータを送るだけで乗っ取られ得る。使っているかどうかが分からない場合は、情報システム担当か導入した業者に聞く。使っていなければ、この件は対象外である。公式: NEC セキュリティ情報 NV26-006、CVE-2026-113363、CVE-2026-113364

3. Craft CMS CVE-2026-124427 / CVE-2026-124430 — 公開範囲外の情報の読み出しと、管理画面ユーザーによるコマンド実行

GitHub のセキュリティアドバイザリによると、Craft CMS 5.x に2件の脆弱性があり、修正版はどちらも 5.11.2 である。11月7日のまとめで扱った CVE-2026-123488 とは別の、新規の CVE である。

- CVE-2026-124427（CVSS 3.1: 9.8 / 4.0: 9.3）: 5.0.0 以上 5.11.2 未満。匿名の GraphQL クライアントが prev / next フィールドをたどり、公開範囲外のセクションのエントリ（タイトル、slug、カスタムフィールド）を読み出せる認可の回避である。認証は不要
- CVE-2026-124430（CVSS 3.1: 8.8 / 4.0: 8.7）: 5.10.0 以上 5.11.2 未満。管理者ではないコントロールパネルのユーザーが、署名済みの Twig テンプレートを入手し、ログインのリダイレクト引数に渡すと、サンドボックスの外で評価される。その結果、PHP の実行権限で OS コマンドを実行され得る

実環境での悪用は報告されていない。平易に言うと、1件目は「見せない設定にした記事の中身」が外から読まれ得る問題、2件目は「管理画面にログインできる一般ユーザー」がサーバーを操作できてしまう問題である。Craft CMS を使っている場合は制作会社に版を確認して 5.11.2 以上への更新を依頼する。自分で確認するなら次のとおりである。

# Craft CMS の版を確認する（プロジェクトのディレクトリで実行）
php craft --version
grep -A1 '"name": "craftcms/cms"' composer.lock

# 更新（本番では事前にバックアップとステージングでの確認を）
composer update craftcms/cms
php craft up

4. Kyverno CVE-2026-124440 — namespace の制限を回避される（CVSS 3.1 で 9.9）

Kyverno は Kubernetes のポリシーエンジンである。GitHub のセキュリティアドバイザリによると、1.19.1 のみ（1.19.1 以上 1.19.2 未満）が影響を受ける。apiCall の namespace 制限を、urlPath に不正なパーセントエスケープを付けることで回避でき、namespace の利用者が、admission-controller の ServiceAccount の権限で、ほかの namespace やクラスタ全体の API を呼べる。深刻度は CVSS 3.1 で 9.9、CVSS 4.0 で 9.4 である。修正版は 1.19.2 で、実環境での悪用は報告されていない。

これは、namespace を複数の利用者やチームに開放しているマルチテナントのクラスタが主な対象である。中小企業で該当する会社は少ない。Kubernetes を使っていない会社は対象外である。使っている場合は、次で版を確認する。

# Kyverno の版を確認する
kubectl get deploy -n kyverno -o jsonpath='{..image}'
helm list -n kyverno

非IT担当者向け: 今日やることチェックリスト

- 自社サイトが WordPress か、制作会社や保守担当に聞く。WordPress なら、問い合わせフォームに Contact Form 7 を使っているかを確認する
- 使っていれば、版が 6.2 から 6.2.3 でないかを確認し、該当するなら今日中に 6.2.4 以降（現行最新は 6.2.4.1）への更新を依頼する。PoC の公開予定は11月19日である
- 更新したら、ファイルを添付できるフォームでテスト送信をして、動作を確認する
- 更新が遅れる場合は、ファイル添付欄を一時的に外すよう依頼する
- 社内に NEC WebSAM WinShare（リモート操作ソフト）があるかを情報システム担当に聞く。あれば NEC の修正モジュールの適用を依頼する
- 自社サイトが Craft CMS で作られていないかを制作会社に聞く。該当すれば 5.11.2 以上への更新を依頼する
- Kubernetes（Kyverno）は、使っていなければ対象外と把握しておく。使っていれば 1.19.1 でないかを担当者に確認する

関連記事

出典

よくある質問

Contact Form 7 を使っていますが、必ず乗っ取られますか。

いいえ。影響を受けるのは 6.2 から 6.2.3 だけで、6.1.x 以前や 6.2.4 以降は対象外です。また、乗っ取りに至るかはサーバーの構成で変わります。標準的な Debian / Ubuntu の Apache 構成では、保存されたファイルを実行されるおそれがあります。nginx などでは、任意ファイルの書き込みにとどまりますが、フィッシングなどに悪用され得るため、版が該当するなら更新してください。現時点で悪用は確認されていません。

更新したらフォームの添付ができなくなりました。

公式リリースノートによると、6.2.4 でアップロードファイル名の検査が許可リスト方式に変わりました。特殊な拡張子のファイルを添付させていると、受け付けられなくなる可能性があります。必要な拡張子が弾かれていないか、更新後に添付付きでテスト送信して確認し、制作会社に相談してください。

NEC WebSAM WinShare の修正版の版番号は何ですか。

公表されていません。NEC は修正モジュールの方式で、Ver 7.6 用と Ver 7.7 用がサポートポータルで配布されています（ログインが必要）。これらは Ver 7.5.0 以下にも適用できます。

Craft CMS の CVE-2026-124427 は、11月7日の CVE-2026-123488 と同じですか。

別の CVE です。11月7日は認証なしの SQL インジェクション（CVE-2026-123488、4.18.9 / 5.11.2 で修正）、今回は公開範囲外のエントリの読み出し（CVE-2026-124427）と、管理画面ユーザーによるコマンド実行（CVE-2026-124430）で、修正版は 5.11.2 です。5.11.2 以上にすれば、今回の2件は修正されます。

Kyverno の CVSS 9.9 は、すぐ対応が必要ですか。

1.19.1 を、namespace を複数の利用者に開放した環境で使っている場合は、1.19.2 への更新を急いでください。Kubernetes や Kyverno を使っていない会社は対象外です。数字の大きさだけでなく、自社の構成が該当するかで判断するのが大切です。

この記事に関連する無料ツール（登録不要・その場で結果）

ホシュ診断（保守リスク健康診断）8つの質問でサイト・システムの保守リスクを3段階判定

お気軽にご相談ください

お問い合わせ