ありがとう。26周年 もっともっと、もっと先へ

WordPressの問い合わせフォームプラグイン「Contact Form 7」に、第三者が不正なファイルをアップロードできる脆弱性が発見されました。2026年10月29日に修正版が公開され、利用者には速やかなアップデートが推奨されています。
特にファイル添付機能を使用しているサイトでは、プラグインの更新だけでなく、サーバー側のアップロード設定や不審なファイルの有無についても確認することが重要です。

脆弱性の内容

• 対象バージョン：Contact Form 7の 6.2～6.2.3
• ログインしていない第三者でも攻撃できる可能性があります。
• 本来拒否されるファイルをアップロードできる可能性があります。
• 通常は削除される一時ファイルが、サーバー上に残る可能性があります。
• 特に、ファイル添付欄があり、サーバーのディレクトリ一覧表示が有効になっている環境では注意が必要です。

修正内容

• 修正版として6.2.4が公開されました。
• 追加更新版として6.2.4.1も公開されています。
• ファイルの拡張子チェックが強化され、安全な拡張子だけを許可する仕組みに変更されました。

必要な対策

プラグインの更新 | 6.2.4.1以降に更新して、ディレクトリ一覧表示を無効にしてください。 |
また、不審なファイルやアクセス履歴がないか確認したうえで、更新後にフォーム送信やファイル添付が正常に動作するか確認してください。Contact Form 7の6.2系の動作要件はWordPress 7.1以上、PHP 8.3以上です。更新前にサーバー環境との互換性を確認してください。