8/19 に修正版が出ていた Elementor Pro の脆弱性に、実際に攻撃されているという報告が出ました。Wordfence が 9/2（米国時間）に、8/19 の公開当日から攻撃が始まり、自社のファイアウォールだけで 19 万件超を止めたと公表しています。
脆弱性そのものは Patchstack が 8/19 に公開したもので、ログインしていない第三者がフォームの送信で PHP ファイルをサーバーに置き、その URL を開いて実行できます（CVE-2026-32475、CVSS は Wordfence が 9.8、Patchstack が 9.0）。修正版の 4.2.2 も同じ 8/19 に出ています。有料版のプラグインで、有効インストールは 600 万です。手口は Patchstack の advisory にあります。
Patchstack と Wordfence の advisory、Elementor の changelog をもとに、やることだけ整理しました。
ここまでの流れ
修正版が出た日と手口が公開された日が同じで、攻撃はその日のうちに始まっていました。
| 日付（2026） | 出来事 | 出どころ |
|---|---|---|
| 7/16 | 研究者から Patchstack に報告。Patchstack が Elementor に通知し、CVE を採番 | Patchstack |
| 7/17 | Elementor が修正を用意（公開は保留） | Patchstack |
| 8/19 | Elementor が 4.2.2 を公開。同じ日に Patchstack が手口を公開 | Patchstack / Elementor の changelog |
| 8/19〜23 | Wordfence のファイアウォールが攻撃を観測。この 5 日間に集中 | Wordfence |
| 9/2 | Wordfence が累計 19 万件超をブロックしたと公表 | Wordfence |
4.2.2 のサイトでは被害が報告されていない一方、4.2.1 以下のまま更新されていないサイトでは、この 2 週間ですでに攻撃が確認されています。
取るべき対応
- プラグイン一覧で Elementor Pro のバージョンを見る
- 4.2.2 なら対応済みです。無料版の Elementor は別のプラグインで、そちらの版番号は関係ありません
- 4.2.1 以下なら 4.2.2 に上げる
- 更新の通知が出ないなら、ライセンスの状態を見る。Elementor は、購読を更新していないと Elementor Pro を更新できないとしています
- 上げたあと、wp-content/uploads/elementor/forms/ に .php ファイルが無いか見る
- Wordfence と Patchstack は、ここに PHP があれば侵害の痕跡で、更新しても置かれたファイルは消えないとしています
- すぐ上げられないなら、上げるまでファイルアップロード欄のあるフォームを公開しない
- 設定で避ける回避策は示されていません
対象者
- Elementor Pro 4.2.1 以下を入れている
- Elementor Pro のフォームウィジェットを置いたページを公開している
- そのフォームにファイルアップロード欄がある
3 つ全部に当てはまるサイトが対象です。欄の細かい条件は出どころで違います。Patchstack と Wordfence は、欄が「必須」でないこと（初期値のまま）を条件に挙げています。Elementor は顧客向けのメールで、対象は「複数ファイルのアップロード」をオンにしたサイトだけで、初期値はオフだと説明しています（BleepingComputer の報道）。ファイルアップロード欄のあるフォームを公開しているなら、設定を確かめる前に上げるのが無難です。無料版の Elementor だけを入れているサイトは対象外です。
