Critical Everest Forms Pro flaw exploited to take over WordPress sites

ハッカーたちは、Everest Forms Proプラグインに存在する重大な脆弱性（CVE-2026-3300）を積極的に悪用しており、これによりWordPressサイトを完全に乗っ取ることが可能となっています。

このセキュリティ問題は、同プラグインのバージョン1.9.12以前のバージョンに影響を及ぼし、認証なしに悪用されることで、サーバー上で任意のコードを実行される可能性があります。

Everest Forms Proは、WordPress用フォームビルダープラグイン「Everest Forms」の商用アドオンです。連絡先、登録、支払い、その他のカスタム申請フォームの作成に使用されます。

image

CVE-2026-3300の脆弱性は、プラグインの「複合計算」機能に存在します。この機能は、フォームフィールドを通じて送信された値を受け取り、それらをPHPコード文字列に挿入します。その後、PHPの「eval()」関数を使用して、生成されたコードを実行します。

ユーザー入力は「sanitize_text_field()」関数を通過しますが、この関数は一重引用符（’）やPHPの構文に影響を与えるその他の文字をエスケープしません。

その結果、攻撃者は意図した文字列を閉じ、任意のPHPコードを注入し、生成された残りのコードをコメントアウトすることで、サーバー上でのコード実行を実現できます。

WordPress 向け Wordfence ファイアウォールおよびマルウェアスキャナーのテレメトリデータによると、この脆弱性は実環境で悪用され、不正な管理者アカウントが作成されています。

「攻撃者は、テキストフィールドに、囲み文字列リテラルを閉じるための単一引用符で始まる値を送信し、その後に wp_insert_user() を呼び出して、ユーザー名 ‘diksimarina’ の新しい管理者アカウントを作成する PHP ステートメントを続けます」と、Wordfence のレポートは説明しています。

「末尾の // コメントマーカーにより、閉じ引用符を含む生成されたPHPコードの残りの部分がコメントとして扱われ、構文エラーが発生しないようにしています。」

「フォームが処理され、計算式が評価されると、注入されたPHPコードが実行され、悪意のある管理者アカウントが作成されます。」

管理者レベルのアクセス権限により、攻撃者は侵害されたウェブサイト上で、コンテンツの変更、プラグインやテーマのインストール、バックドアやウェブシェルの埋め込み、プライベートデータベースへのアクセスなど、高リスクな操作を自由に行うことが可能になります。

研究者の h0xilo は 2 月に Wordfence を通じて CVE-2026-3300 の脆弱性を報告し、3 月 18 日、Everest Forms の開発者はこの問題に対処するパッチをリリースしました。

Wordfenceのデータによると、4月13日から実際の攻撃が開始され、ファイアウォールは29,300件以上の攻撃をブロックしました。

Exploitation volume
悪用件数
出典：Wordfence

Wordfenceによると、攻撃の試みは主に202.56.2[.]126および209.146.60.26という2つのIPアドレスから発信されており、防御側にはこれらをブロックするよう推奨しています。

ただし、Wordfenceのレポートでは、侵害の兆候（IOC）として、問題のあるIPアドレスがいくつか挙げられています。

また、ウェブサイト管理者は、ログファイルや管理者アカウントを点検し、特に「diksimarina」という文字列を含む不審な活動がないか確認することが推奨されています。