WordPress『Ninja Forms』に管理者乗っ取りの脆弱性 CVE-2026-65048ほか、60万サイトは3.14.9へ更新を

世界で60万サイト以上が使うWordPress向けのフォーム作成プラグイン「Ninja Forms（ニンジャフォームズ）」に、深刻な脆弱性が2件見つかりました。CVE-2026-65048は、ログインしていない外部の人物が、問い合わせフォームを送信するだけで管理画面に不正なスクリプトを仕込み、管理者を乗っ取れる恐れがあるものです。もう1件のCVE-2026-65049は、権限の低い利用者がサイト内のフォームデータをまとめて削除できてしまう欠陥です。どちらも危険度は9.3（緊急）と評価されています。

開発元のSaturday Driveは修正版Ninja Forms 3.14.9を公開しており、現在の最新版は3.14.10です。WordPressのプラグインは初期設定では自動更新が有効になっていないことも多く、古い版のまま放置されているサイトが少なくありません。Ninja Formsは過去にも実際に攻撃へ悪用された経緯があるため、今回も早めの更新が必要です。何が起きるのか、自分のサイトが対象かをどう確かめるのかを順に説明します。

誰が、何のために狙うのか

とくに危険なCVE-2026-65048を狙うのは、古いNinja Formsを入れたサイトを片っ端から探し、問い合わせフォームに細工した文字列を送りつける攻撃者です。ログインは要らず、サイトに用意された「お問い合わせ」や「申し込み」フォームさえあれば、外部の誰でも試せてしまいます。有名サイトだけが狙われるわけではなく、フォームを設置している中小の企業サイトや個人サイトも一律に対象になります。

攻撃者が送り込んだ不正なスクリプトは、その送信内容を管理者が管理画面で開いた瞬間に、その管理者の権限で実行されます。これを足がかりに、管理者になりすまして新しい管理者アカウントを勝手に作る、サイトに不正なプログラムを埋め込む、記事や設定を書き換える、といった乗っ取りへ進む恐れがあります。攻撃者は待っているだけでよく、サイト運営者が届いた問い合わせを確認するという日常の操作が、そのまま引き金になってしまうのが厄介な点です。

被害はサイト運営者にとどまりません。乗っ取られたサイトは、訪問者を偽サイトへ誘導したり、入力された個人情報を盗む仕掛けを埋め込まれたりする土台にされます。もう1件のCVE-2026-65049では、蓄積してきた問い合わせや申し込みの記録が丸ごと消される恐れもあり、業務記録の消失に直結します。WordPress本体でも同時期にサイト乗っ取りにつながる脆弱性が見つかっており、本体・プラグインの両面で更新を急ぐべき状況です。

見つかった2件の内訳

CVE-2026-65048（CVSS 9.3）: フォームに仕込んだスクリプトが、管理画面で実行される

この欠陥は、Ninja Formsの「繰り返し入力欄（Repeatable Fieldset）」という、同じ項目を複数回入力できる機能にあります。送信された各入力欄の順番を扱う内部処理（parseSubmissionIndex()）が、数字であることを確かめずに任意の文字列を受け入れてしまい、その値を管理画面のHTMLへそのまま埋め込んでいました（admin_form_element()）。これは「格納型クロスサイトスクリプティング（XSS）」と呼ばれる種類の欠陥です。格納型XSSとは、攻撃者が送り込んだ不正なスクリプトがサーバー側に保存され、後からその内容を表示した人のブラウザ上で勝手に実行されてしまう攻撃を指します。

今回は、外部の攻撃者がフォームを送信するだけで不正なスクリプトを保存でき、サイト運営者がその送信内容を管理画面で確認した瞬間に、運営者の権限で実行されます。ログインが不要で、しかも運営者の「問い合わせを見る」という当たり前の操作が引き金になるため、危険度は9.3と高く評価されています。実行されると、管理者のセッション（ログイン状態）の乗っ取り、新たな管理者アカウントの作成、サイトへの不正プログラムの設置などに悪用され得ます。

CVE-2026-65049（CVSS 9.3）: 権限の低い管理者が、全サイトのデータを一括削除できる

こちらは、複数のサイトを1つのWordPressでまとめて運用する「マルチサイト」構成で問題になります。本来、ネットワーク全体に関わる操作は最上位の管理者（スーパー管理者）だけに許されるべきですが、Ninja Formsの権限チェックが個々のサイト単位の権限しか見ていませんでした。その結果、1つのサブサイトの管理者にすぎない利用者が、細工したリクエストを送るだけで、ネットワーク上の全サイトのNinja Formsデータを一括削除できてしまいます。フォームの定義や、これまで蓄積してきた問い合わせ・申し込みの記録が丸ごと失われる恐れがあり、こちらも危険度9.3とされています。スーパー管理者の権限を持たない相手が、その壁を越えて破壊的な操作を実行できてしまう「認可（権限）の不備」の典型例です。

自分のサイトは影響を受けるのか（早見表）

影響するかどうかは、いま使っているNinja Formsのバージョンで決まります。バージョンはWordPress管理画面の「プラグイン」一覧で確認できます。下の表で照らし合わせてください。

とくにCVE-2026-65048は、フォームを一般公開しているサイトほどリスクが高くなります。会員登録が要らない「お問い合わせ」「資料請求」「予約」などのフォームをNinja Formsで作っている場合は、外部の誰でも送信できる状態のため、優先的に更新してください。マルチサイト構成でNinja Formsを使っている運用者は、CVE-2026-65049のデータ一括削除リスクもあわせて意識する必要があります。

いま何をすればいいのか

対処はシンプルで、Ninja Formsを3.14.9以降（できれば最新の3.14.10）へ更新することです。WordPress管理画面の「プラグイン」を開き、Ninja Formsに更新の通知が出ていれば「更新」を押すだけで適用できます。更新後、バージョン表示が3.14.9以降になっていることを確認してください。念のため、更新前にサイトのバックアップを取っておくと安心です。

すぐに更新できない事情がある場合は、つなぎの措置として、届いたフォーム送信内容を管理画面で不用意に開かない運用を徹底する、公開フォームを一時的に停止する、といった対応でCVE-2026-65048の発火を抑えられます。ただしこれらは応急策にすぎず、根本的な対処はあくまで修正版への更新です。あわせて、プラグインの自動更新を有効にしておくと、今後の欠陥にも取りこぼしなく対応できます。

本記事の公開時点では、今回の2件について実際に攻撃へ使われたという報告や、米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」への登録は確認されていません。ただしNinja Formsは過去に、別のファイルアップロード系の欠陥が公開後に実際の攻撃へ悪用された経緯があり、油断はできません。WordPressのプラグインは同じ時期に脆弱性が相次いでおり、人気プラグインの脆弱性まとめや7月に公開された重大な脆弱性のまとめもあわせて確認しておくと、更新の抜け漏れを防げます。

よくある質問（FAQ）

まとめ

世界で60万サイト以上が使うWordPressのフォーム作成プラグイン「Ninja Forms」に、危険度9.3の脆弱性が2件見つかりました。CVE-2026-65048はログイン不要で、フォーム送信から管理画面に不正なスクリプトを仕込み、管理者を乗っ取る恐れがあります。CVE-2026-65049は、マルチサイト構成で権限の低い管理者が全サイトのフォームデータを一括削除できてしまう欠陥です。フォームを公開しているサイトは、送信内容を確認するという日常操作が引き金になり得る点で、影響を受けやすいのが特徴です。

対処は修正版3.14.9以降（最新は3.14.10）への更新です。WordPress管理画面の「プラグイン」から数クリックで適用でき、更新後にバージョンを確認すれば完了です。現時点で実際の攻撃は確認されていませんが、Ninja Formsは過去に悪用された経緯があり、修正版公開後は狙われやすくなります。フォームを設置しているサイトは、今すぐ更新を済ませておくのが安全です。

参照元

• ▸ NVD - CVE-2026-65048（Ninja Forms 無認証の格納型XSS）
• ▸ NVD - CVE-2026-65049（Ninja Forms 権限不備によるデータ一括削除）
• ▸ WordPress.org - Ninja Forms 変更履歴（修正版3.14.9 / 最新3.14.10）
• ▸ Wordfence Intelligence - Ninja Forms 脆弱性一覧
• ▸ Patchstack - Ninja Forms 脆弱性データベース
• ▸ 関連: WordPress本体のサイト乗っ取り脆弱性 wp2shell（当サイト）
• ▸ 関連: WordPress人気プラグインの脆弱性まとめ（当サイト）