WordPress の問い合わせフォームのプラグイン Contact Form 7 の脆弱性が、作者から 10/29 に公開されました。ログインしていない第三者が、本来は検証で弾かれるファイルをフォーム経由でサーバーに置けるものです。有効インストール 1,000 万のプラグインですが、対象は 10/6 から 10/21 に出た 6.2 から 6.2.3 までの 4 つのバージョンだけ。修正版の 6.2.4 は 10/29 に出て、同じ日のうちに不具合を直した 6.2.4.1 が現行版です。
6.1.7 以下のままのサイトには関係がなく、10/6 以降に 6.2 系へ上げたサイトだけの話です。そのうち 6.2 から 6.2.3 で止まっているサイトは、攻撃対象になっています。
https://contactform7.com/2026/10/29/contact-form-7-624/
Contact Form 7 の作者の告知と変更履歴をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で Contact Form 7 のバージョンを見る
- 6.2.4 か 6.2.4.1 なら対応済みです。現行版は 10/29 に出た 6.2.4.1
- 6.1.7 以下なら、この脆弱性の対象ではありません。作者は強化が全バージョンに効くとして、全員に 6.2.4 以上を勧めています
- 6.2 から 6.2.3 なら 6.2.4.1 に上げる
- 6.2.4 には、任意のファイル項目を空のまま送ると「この形式のファイルはアップロードできません」で送信が止まる不具合があり、2 時間後の 6.2.4.1 で直っています（作者の GitHub の issue #1908）
- 6.1.7 以下から上げる場合、6.2 系は PHP 8.3 と WordPress 7.1 が要ります
- ファイル項目で画像・音声・動画・pdf・txt 以外を受け付けているフォームは、拡張子を許可リストに足す
- 6.2.4 から、許可リストにない拡張子（docx・xlsx・zip など）は安全な別の拡張子に書き換えられます。作者は告知で、
wpcf7_file_extension_safelistフィルターに zip を足す例を載せています
- 6.2.4 から、許可リストにない拡張子（docx・xlsx・zip など）は安全な別の拡張子に書き換えられます。作者は告知で、
作者は回避策を示していません。
対象者
対象は 6.2 から 6.2.3 までを入れているサイトで、作者はこの 4 つのバージョンだけだと書いています。6.2 は 10/6、6.2.3 は 10/21 に出たバージョンで、どちらも PHP 8.3 と WordPress 7.1 を必要とするものでした。見るのは「6.2 以上 6.2.3 以下か」だけ。作者が理論上の対象として挙げるのは、ファイル項目のあるフォームがあり、サーバーがディレクトリの一覧を公開する設定になっているサイトです。ファイル項目のないフォームは対象に挙がっていませんが、作者は全員に更新を勧めています。
| バージョン | この脆弱性 | 配信日 |
|---|---|---|
| 6.2.4.1 | 対象外（修正済み・現行版） | 10/29 |
| 6.2.4 | 対象外（修正済み。空のファイル項目で送信が止まる） | 10/29 |
| 6.2 〜 6.2.3 | 対象 | 10/6 〜 10/21 |
| 6.1.7 以下 | 対象外 |
起こったこと
作者によると、ログインしていない第三者が、6.2 から 6.2.3 にある複数の欠陥を組み合わせて使います。検証で弾かれるはずのファイルをアップロードし、送信後すぐに消されるはずのファイルをサーバーに残せるものでした。報告は WPScan 経由で、WPScan の公開情報と CVE 番号、CVSS の採点は 10/30 時点では出ていません。欠陥の中身そのものは、告知に書かれていないままです。
