フォーム作成プラグイン「Forminator」に緊急の脆弱性、ログインなしで不正なファイルを設置されるおそれ（CVE-2026-15748）

何が起きたか

「Forminator」は、お問い合わせフォームや申込フォーム、決済フォームなどを作成できる、WordPress用の人気プラグインです。60万以上のサイトで有効化されていると報告されています。

このプラグインに「CVE-2026-15748」という管理番号がつけられた不具合が見つかりました。Forminatorのファイルアップロード処理（handle_file_upload機能）には、危険な拡張子のファイルを拒否するための仕組みがありますが、その判定方法に不備があり、拒否リストを回避してファイルをアップロードできる場合がありました。郵便受けの「危険物チェック」の目をすり抜けられてしまう不備です。あわせて、フォームの送信を受け付ける処理が、攻撃者が偽装した「選択（Select）」項目の値を信用してしまう不備もありました。これは、送り主が自分で書いた「中身ラベル」を、受け取り側がそのまま信じてしまうようなものです。この2つを組み合わせることで、ログイン不要の第三者が、プログラムとして実行可能なファイルをサイトにアップロードできるおそれがあるとされています。悪用には、「ファイルアップロード」欄と「選択」欄の両方を含む公開済みのフォームが必要です。

深刻さを表す点数（CVSS）は 9.8 で、10点満点に近い「緊急」レベルです。この不具合は「daroo」という名前の研究者からWordfenceのバグ報奨金制度を通じて報告されました。

誰に関係するか

次の条件に当てはまるサイトが対象です。

• WordPress で「Forminator」プラグインが有効になっている
• Forminator のバージョンが 1.56.1 以前である（1.56.2 以降は修正済み）
• （悪用の条件として）公開済みのフォームに「ファイルアップロード」欄と「選択」欄の両方が含まれている

フォームの構成によって悪用できるかどうかが変わる不具合ですが、郵便受けそのものの仕組みに不備があるため、バージョンが対象であれば更新しておくことをおすすめします。

何をすべきか

1. バージョンを確認する

WordPress の管理画面から「プラグイン」を開き、「Forminator」があるか、あればバージョンがいくつかを確認します。分からない場合は、HEIMVAIL の無料チェックで作れる依頼文を使って制作会社・管理会社に確認を依頼してください。

2. 対象なら更新する

バージョンが 1.56.1 以前であれば、すぐに 1.56.2 以降に更新してください。すぐに更新できない場合は、郵便受けの投函口そのものを一時的に閉じるイメージで、ファイルアップロード欄を含むフォームを一時的に非公開にすることも検討しましょう。

3. 不正なファイルが設置されていないか確認する

すでに悪用されている可能性に気づいた場合は、自分たちだけで判断せず、専門家への相談を検討してください。教材「セキュリティ専門家への相談タイミング」も参考にしてください。

よくある質問

自分のサイトは影響を受けますか？

WordPress で「Forminator」というプラグインが有効になっており、そのバージョンが 1.56.1 以前の場合に影響を受けるおそれがあります。特に、お問い合わせフォームなどに「ファイルアップロード」欄があるサイトは優先して確認してください。

お問い合わせフォームにファイル添付の欄がない場合は安心ですか？

悪用にはファイルアップロード欄を含む公開フォームが必要とされていますが、プラグイン自体の不具合であることに変わりはないため、バージョンが対象であれば更新しておくことをおすすめします。

何をすればいいですか？

Forminator のバージョンが 1.56.1 以前であれば、1.56.2 以降への更新をすぐに行ってください。すでに不正なファイルが設置されている可能性がある場合は、専門家への相談も検討してください。

参考にした公開情報

• MITRE CVE Program：CVE-2026-15748 公式記録
• SOC Prime：解析記事（英語、インストール数・悪用条件の詳細を含む）

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。