WordPress の有料テーマ Avada の脆弱性（CVE-2026-115346）が、Wordfence から 10/30 に公開されました。ログインしていない第三者が、Avada Forms のアップロードフィールドから、実行される可能性のあるファイルをサーバーに置けるもので、対象は 7.16.2 以下です。ThemeForest で 100 万本以上売れているテーマで、修正版の 7.16.4 は公開の 4 日前、10/26 付けの変更履歴で出ています（開発元の告知は 10/27）。
7.16.4 に更新済みのサイトでは何も起きていない一方、7.16.2 以下のままのサイトは 10/30 から攻撃対象になっています。10/19 に出た 7.16.3 については、Wordfence も開発元も触れていません。
https://www.wordfence.com/threat-intel/vulnerabilities/id/af757e6b-cbb3-4efd-8c83-99a03dee2311
Wordfence の公開情報と、Avada の変更履歴、開発元の告知をもとに、やることだけ整理しました。
取るべき対応
- 外観 > テーマで Avada のバージョンを見る
- 7.16.4 なら対応済みで、10/26 に出た現行版です
- 更新通知が管理画面に出ていないなら、製品登録を確認する。開発元のドキュメントによると、更新通知は登録済みのサイトにしか出ません
- 7.16.3 以下なら 7.16.4 に上げる
- Wordfence は 7.16.4 以上に上げるよう書いています
- テーマを上げたあと、Avada Core、Avada Builder の順に必須プラグインも上げる。開発元は、テーマの更新後に出る必須プラグインの更新通知に続けて対応するよう書いています
Wordfence も開発元も回避策を示していません。
対象者
対象は Avada 7.16.2 以下を使っているサイトです。Wordfence が挙げる条件はバージョンだけで、入口は開発元が Avada Forms のアップロードフィールドと書いています。アップロードフィールドを置いていないサイトが対象外かどうかは、Wordfence も開発元も書いていないので、バージョンで判断するのが無難です。
一方で 10/19 に出た 7.16.3 は、Wordfence の対象の範囲に入っていないものの、開発元が修正を書いているのは 7.16.4 だけ。7.16.3 のままのサイトは、対象外と判断する材料が無いので 7.16.4 に上げるのが無難です。10/20 に出た別製品の Avada One（1.0 系）については、本件の対象かどうかを Wordfence も開発元も書いていません。
| バージョン | この脆弱性 | 配信日 |
|---|---|---|
| 7.16.4 | 対象外（修正済み・現行版） | 10/26 |
| 7.16.3 | 記載なし | 10/19 |
| 7.16.2 以下 | 対象 | 9/30 以前 |
起こったこと
Wordfence によると、ログインしていない第三者が、実行される可能性のあるファイルをサーバーにアップロードできます。そこからリモートでコードを実行される可能性があり、CVSS は 8.1 です。Wordfence の時系列では 9/17 に発見し、10/22 に開発元へ通知していて、修正版はその 4 日後に出ました。
原因
Wordfence によると、原因は convert_palette_images_to_truecolor() という関数にあります。アップロードされたファイルを処理する前の、ファイル形式の検証が足りませんでした。開発元は 7.16.4 の変更履歴に、Avada Forms のアップロードフィールドでのリモートコード実行の可能性を修正した、とだけ書いています。
