600万以上のサイトで使われる「Elementor Pro」に緊急の脆弱性、既に乗っ取り攻撃が確認されています（CVE-2026-32475）
ひとことで言うと：WordPressの人気ページビルダー拡張「Elementor Pro」は、いわば店舗の内装を自由に組み立てられる便利な工具箱のようなプラグインですが、その中の「問い合わせフォーム」という道具の鍵のかけ方に不具合があり、4.2.1以前のバージョンでは、ログインなしでサイトを乗っ取られるおそれがある緊急の不具合が見つかりました。公表当日から大規模な悪用が確認されており、Elementor Proを使っている場合は至急の対応が必要です。
何が起きたか
2026年8月19日、600万件以上のサイトで使われているWordPress用ページビルダーの有料拡張「Elementor Pro」の4.2.1以前のバージョンに、緊急の不具合が公表されました。この不具合には「CVE-2026-32475」という管理番号がついています。
Elementor Proの問い合わせフォーム機能には「ファイルアップロード」という項目を追加できます。たとえるなら、お店の受付に置かれた「荷物お預かりロッカー」のようなもので、本来は預かる前に中身を確認するはずの仕組みです。ところが、この項目に送信されるファイルの検証処理に不具合があり、特定の手順でリクエストを送ることで、本来許可されていないPHPファイル（プログラムとして実行できるファイル）をサイトにアップロードできてしまいます。アップロードされたファイルは、サイトのサーバー上でプログラムとして実行できてしまうため、ロッカーに預けた荷物が中から勝手に扉を開け、お店の鍵を使わずに裏の事務所まで入り込んでしまうように、ログインなしでサイトを乗っ取られる（遠隔から任意の命令を実行される）おそれがあります。深刻さを表す点数（CVSS）は10点満点中9.0（緊急）です。
セキュリティ会社Wordfenceによると、修正版が公開された2026年8月19日と同じ日から悪用が始まり、同月19日から23日までの間に19万件以上の攻撃をファイアウォールで検知・遮断したと報告されています。攻撃者は、アップロードしたPHPファイルを通じて、サーバー上に不正なファイル（ウェブシェルと呼ばれる、遠隔操作用の裏口のようなもの）を設置する手口を使っているとされています。開発元は修正版（4.2.2以降）を公開しています。
誰に関係するか
次の条件にすべて当てはまるサイトが対象です。
- WordPressで有料の「Elementor Pro」を使っている（無料版の「Elementor」単体では対象外）
- バージョンが4.2.1以前である
- 公開中の問い合わせフォームなどに「ファイルアップロード」欄があり、その項目が「必須」に設定されていない
Elementor Proを使っていない、または既に4.2.2以降に更新済みの場合は対象外です。使っているかどうか分からない場合は、制作会社・管理会社に確認してもらいましょう。
何をすべきか
1. 至急、管理会社に確認・更新を依頼する
既に大規模な悪用が確認されている緊急の不具合です。「Elementor Proを使っているか」「バージョンはいくつか」を制作会社・管理会社にすぐ確認してもらい、対象であれば最新版への更新を依頼してください。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。
2. 既に被害が出ていないか点検してもらう
更新するだけでは、既に不正なファイルを置かれていた場合はそのファイルは残ったままになります。サイトの「/wp-content/uploads/elementor/forms/」というフォルダの中に見慣れないPHPファイルがないか、サーバーのアクセスログに不自然な動きがないかを、管理会社に点検してもらってください。
3. 問い合わせフォームのファイルアップロード欄を見直す
ファイルアップロード機能が業務上必要かどうかを見直し、不要であれば項目を外すことも、同種の不具合に対する備えになります。
よくある質問
自分のサイトは影響を受けますか？
WordPressで有料のページビルダー拡張「Elementor Pro」をバージョン4.2.1以前で使っていて、問い合わせフォームなどに「ファイルアップロード」欄があり、かつそれが「必須」に設定されていない場合に影響を受けるおそれがあります。Elementor Proを使っていない、無料版のみのサイトは対象外です。
既に攻撃されていないか、どうすれば分かりますか？
サイトのファイルの中に「/wp-content/uploads/elementor/forms/」というフォルダがあり、その中に見慣れないPHPファイルがある場合は、既に不正なファイルを置かれているおそれがあります。自分で確認するのが難しい場合は、管理会社にこのフォルダの点検を依頼してください。
何をすればいいですか？
Elementor Proを最新版に更新した上で、既に不正なファイルが置かれていないかの点検を管理会社に依頼してください。更新だけでは、既に置かれてしまったファイルは削除されません。
参考にした公開情報
- NVD：CVE-2026-32475（英語）
- Patchstack：Critical Unauthenticated File Upload to RCE in Elementor Pro Plugin（英語）
- BleepingComputer：Critical Elementor Pro flaw exploited to take over WordPress sites（英語）
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。既に被害が疑われる場合は、本記事を読むよりも先に管理会社・専門家に連絡することをおすすめします。個別のサイトの安全を保証するものではありません。