2025年以降だけでも、中〜最高危険度のWordPress絡みのCVE（脆弱性）が多数報告されています。すべてを並べると墓標一覧になってしまうため、本記事では実務で優先して確認すべきものに絞って解説します。
結論から言うと、主戦場はWordPress本体ではなくプラグインです。Patchstackのレポートによれば、WordPressの脆弱性は「96%がプラグイン、4%がテーマ、Coreは7件」とされています。WordPress本体も6.8.3のセキュリティリリースが出ていますが、現場を燃やしているのは圧倒的にプラグインです。
2025年〜2026年の要注意WordPressCVE一覧
| CVE | 対象プラグイン | 深刻度 | 種別 | 何がヤバいか |
| CVE-2025-6327 | King Addons for Elementor | 超緊急 | 任意ファイルアップロード | 未認証でサイト完全乗っ取り級 |
| CVE-2025-6325 | King Addons for Elementor | 緊急 | 権限昇格 | 登録機能経由で管理者化の恐れ |
| CVE-2025-7340 | HT Contact Form | 緊急 | 任意ファイルアップロード | 未認証で危険ファイル設置、RCE化の恐れ |
| CVE-2025-7341 | HT Contact Form | 緊急 | 任意ファイル削除 | wp-config.php 削除などで乗っ取りにつながる |
| CVE-2025-7360 | HT Contact Form | 緊急 | 任意ファイル移動 | 重要ファイル移動でRCE/乗っ取り化 |
| CVE-2025-2005 | Front End Users | 緊急 | 任意ファイルアップロード | 未認証アップロード、RCE化の恐れ |
| CVE-2025-2941 | Drag and Drop Multiple File Upload for WooCommerce | 緊急 | 任意ファイル移動 | wp-config.php 等の移動でRCEにつながる |
| CVE-2025-49870 | Paid Membership Subscriptions | 緊急 | SQLインジェクション | 未認証でDB攻撃、会員/決済系は特に重い |
| CVE-2025-6389 | Sneeit Framework | 緊急 | RCE | 管理者アカウント作成・サイト完全乗っ取り級 |
| CVE-2025-9501 | W3 Total Cache | 緊急 | コマンドインジェクション | コメント経由でPHPコード実行につながる恐れ |
| CVE-2025-11705 | Anti-Malware Security and Brute-Force Firewall | 中程度 | 任意ファイル読み取り | 低権限ユーザーが wp-config.php 等を読める恐れ |
| CVE-2025-13486 | Advanced Custom Fields: Extended | 緊急 | RCE | 未認証で任意コード実行、管理者作成も可能 |
| CVE-2025-14533 | Advanced Custom Fields: Extended | 緊急 | 権限昇格 | 未認証で管理者作成系の危険 |
| CVE-2025-15463 | Advanced Custom Fields: Extended | 中程度 | 任意ショートコード実行 | 未認証でショートコード実行、情報漏えい/悪用余地 |
| CVE-2026-1357 | WPvivid Backup & Migration | 緊急 | RCE | バックアップ受信機能有効時に重大 |
| CVE-2026-1492 | User Registration & Membership | 緊急 | 権限昇格 | 未認証で管理者アカウント作成、悪用確認あり |
| CVE-2026-3300 | Everest Forms Pro | 緊急 | RCE/PHPコード注入 | 悪用中。管理者アカウント作成まで確認 |
| CVE-2026-8732 | WP Maps Pro | 緊急 | 権限昇格 | 管理者アカウント作成、1日3,600件超の悪用試行 |
| CVE-2026-0740 | Ninja Forms – File Upload | 緊急 | 任意ファイルアップロード | 未認証でファイルアップロード、RCE化の恐れ |
| CVE-2026-2413 | Ally by Elementor | 危険 | SQLインジェクション | 未認証SQLi、導入数が多く未更新が多い |
特に警戒すべき脆弱性プラグイン
1. Elementor拡張プラグイン
King Addons for Elementor は超危険級の未認証悪用が報じられており、サイトの完全乗っ取りにつながります。また、アクセシビリティ系の Ally by Elementor でも未認証SQLiが確認されています。Elementor系の拡張プラグインはとりあえずで導入されがちなため、制作済みサイトの棚卸し対象として極めて重要です。
2. フォーム・ファイルアップロード系
フォーム系は問い合わせ窓口に見せかけた悪意の搬入口と化しています。
- HT Contact Form: 任意ファイルアップロード・削除・移動により、
wp-config.phpへの干渉やRCE（遠隔コード実行）の恐れ。 - Everest Forms Pro: 既に
diksimarinaという悪意ある管理者アカウント作成が可能。「要更新ではなく「汚染されているから確認してください」というフェーズ
3. 会員登録・EC系
会員登録とアップロードの組み合わせは最悪です。
- Front End Users: ファイル種別の検証不足によりRCE化の恐れ。
Ninja Forms – File Upload: フォーム添付系としては最高危険度クラス。 - Paid Membership Subscriptions: 会員・決済周りのDBを触るプラグイン。ビジネスへの影響が致命的です。
- Drag and Drop Multiple File Upload for WooCommerce: ECサイトの重要ファイルが移動される恐れがある。
4. サイトインフラ系（キャッシュ・カスタムフィールドなど）
- W3 Total Cache: 100万超インストールのサイト高速化の有名プラグインですが、コメント経由のコマンドインジェクションが発覚。
- Advanced Custom Fields: Extended (ACF Extended): RCEから権限昇格まで複数の重いCVEが連発しており、バックドア注入や管理者作成に悪用可能。
- Sneeit Framework / WP Maps Pro: 公開直後から1日で数千〜十万件単位の攻撃・悪用試行を検知。
要注意！「中程度」でも見逃せない理由
CVE-2025-11705のAnti-Malware Security and Brute-Force Firewall）はCVSS 6.8と中程度ですが、低権限ユーザーが wp-config.php などの機密ファイルを読める可能性があります。中程度でも致命傷になりうる脆弱性で会員サイトなどでは最高危険度として扱うべきです。
実務向け：インシデントを防ぐためのアクション
以下のプラグイン名が自社・顧客サイトに含まれていたら、即座にバージョン確認とアップデートを実施してください。
- King Addons for Elementor
- HT Contact Form
- Front End Users / Front-End-Only-Users
- Drag and Drop Multiple File Upload for WooCommerce
- Paid Membership Subscriptions
- Sneeit Framework
- W3 Total Cache
- Advanced Custom Fields: Extended
- WPvivid Backup & Migration
- User Registration & Membership
- Everest Forms Pro
- WP Maps Pro
- Ninja Forms – File Upload
- Ally by Elementor
- Anti-Malware Security and Brute-Force Firewall
初期調査における診断時の見る順番
ターミナル等で状況を確認する場合、まずは以下のコマンド群で全体像を把握します。
wp core version
wp plugin list
wp theme list
wp user list --role=administrator
find wp-content/uploads -name "*.php"
find wp-content -mtime -30アップデートだけで終わらせない侵害確認リスト
特に管理者作成系・RCE系・任意ファイルアップロード系の脆弱性が出ていた場合、すでに攻撃を受けている前提で以下を調査してください。
- 不審な管理者ユーザーの存在（例：
diksimarinaなど） - 最近作成された身に覚えのないユーザー
wp-content/uploads配下に存在するPHPファイル（通常ここには画像しかありません）.htaccessの改ざん形跡wp-config.phpの変更履歴- サイト内での不審なリダイレクト挙動
- Google検索結果のSEOスパム（関係ない海外語やカジノサイト等が表示されていないか）
- サーバーログ内の不審なPOSTリクエスト
- メールログ、フォーム送信ログの異常
- 不審なcron（定期実行タスク）の登録
結論
2025年以降のWordPress界隈で特に危険なのは、以下の4系統です。
- 任意ファイルアップロード
- RCE（遠隔コード実行）/ コード注入
- 未認証での管理者アカウント作成
- SQLインジェクション
これらの要素が一つでも絡む脆弱性が発表された場合、対応の優先度は「最高」です。特に、フォーム、会員登録、EC、バックアップ、キャッシュ、Elementor拡張、AI/アクセシビリティ系のプラグインには細心の注意を払ってください。現在のWordPressは、本体よりも周辺プラグインがリスクとなっています。
日々のアップデートと棚卸しを怠らないようにしましょう。