Critical Elementor Pro bug exposes WordPress sites to RCE attacks

WordPressプラグイン「Elementor Pro」に存在する重大な脆弱性により、攻撃者が実行可能ファイルをアップロードし、サーバー上でリモートコード実行を行うことが可能となる恐れがあります。

CVE-2026-32475として特定されたこの脆弱性は、バージョン4.2.2以前のElementor Proに影響を及ぼし、ファイルの検証と処理に別々のループを使用し、ファイル名が入力されていないアップロードを異なる方法で処理する「ファイルアップロード」モジュールに起因しています。

「問題は、これらの2つのループが、空のファイルエントリ（ファイル名が空白のアップロードパート。PHPではUPLOAD_ERR_NO_FILEとして報告される）に対してどのように処理すべきかについて意見が一致していない点にあります」と、WordPressエコシステムに特化したサイバーセキュリティ企業Patchstackのレポートは説明しています。

image

「検証ループと処理ループは、こうした空のエントリに対する早期終了ロジックが異なるため、巧妙に構成されたマルチパートアップロードが、検証側と処理側で異なる扱いを受ける可能性があります。」

攻撃者は、最初のエントリのファイル名を空にし、その後に悪意のあるPHPペイロードを配置したマルチパートアップロードを作成することで、この挙動を悪用する可能性があります。

これにより、検証ルーチンは最初のパートを検査した後に終了し、UPLOAD_ERR_NO_FILEエラーを返してそれを却下し、2番目のパートを一切チェックしなくなります。 処理ステップでは、空のエントリはスキップされますが、アップロードの残りの部分は処理され、2番目のパートに含まれるPHPがパブリックディレクトリ（wp-content/uploads/elementor/forms/）に移動されます。

Elementor Pro は、WordPress 用の非常に人気のあるドラッグ＆ドロップ式ウェブサイトビルダー「Elementor」の有料版であり、1,000 万件以上のアクティブインストール数を誇ります。

Pro版には、フォーム作成、テーマおよびポップアップビルダー、カスタムコードやCSS、eコマースツールなどの高度な機能が追加されており、一般的にハイエンドなプラットフォームで使用されています。

Patchstackによると、CVE-2026-32475を悪用するには、標的となるサイトに「ファイルアップロード」フィールドを含む公開済みのElementorフォームが存在するだけで十分です。

研究者らによると、悪意のあるPHPをアップロードした後、攻撃者はパブリックディレクトリ内でそのファイル名を特定できるとのことです。これは、ファイル名がuniqid()関数を使用して生成されるためで、この関数はランダムではなく時刻に基づいて生成されるからです。

攻撃者は、タイミングを利用したブルートフォース攻撃によってペイロードの名前を特定できる。設定によっては、自動返信メールを通じてその正確なURLを取得することも可能だ。

攻撃者がそのURLでアップロードされたファイルをリクエストすると、サーバーのPHPインタプリタがその内容を実行し、Webサーバーの権限で任意のコードが実行されることになります。

Patchstackは7月16日、この脆弱性（CVE-2026-32475）を発見した研究者Tin Pham氏から情報を得て、Elementorチームにその情報を共有しました。

翌日、プラグイン開発者は修正プログラムを用意し、Patchstackが8月3日に検証を行った後、昨日公開されました。

Elementorはまた、この脆弱性について加入者に通知し、影響を受けるのは「ファイルアップロードフォームフィールドを備えたElementor Proフォームを使用し、複数ファイルアップロードオプションが有効になっている（デフォルトでは無効）ウェブサイトのみ」であると述べています。

「その他のElementorサイトには影響ありませんが、セキュリティや互換性の問題が発生する可能性を低減するため、すべてのサイトで最新バージョンに更新することを推奨します」とベンダーは述べています。

管理者は、Elementor Proの最新リリースに更新し、「wp-content/uploads/elementor/forms/」ディレクトリ内にPHPファイルやその他の不正なファイルがないか確認する必要があります。

Patchstackは、更新を行っても脆弱性が存在していた期間中にアップロードされた悪意のあるファイルは削除されないことを指摘しており、徹底的な調査を推奨しています。

現時点では、実環境での悪用事例は確認されていません。