Super Forms CVE-2026-14894にPoC公開、入手先も変更

WordPressのサイトに問い合わせフォームや申込フォームを設置できる人気の有料プラグイン「Super Forms（スーパーフォームズ）」に、ログインも会員登録もしていない第三者が、悪意あるファイルを送り込んでサーバーごとサイトを乗っ取れる深刻な欠陥が見つかりました。識別番号はCVE-2026-14894で、危険度は10点満点中9.8と最上位クラスです。

怖いのは、悪用にログインも利用者のクリックも一切必要ない点です。攻撃者はフォームの送信窓口を突くだけで、サーバー上で自由にプログラムを動かせる状態になります。これは遠隔からのコード実行（RCE）と呼ばれ、脆弱性の中でも最も重い部類に入ります。対象はSuper Forms 6.3.313以前の全バージョンで、開発元が修正を公開済みです。Super Formsを使っているサイトは、今すぐ最新版へ更新してください。

Super Formsとは何か

Super Formsは、WordPressで作ったサイトに、問い合わせ・見積依頼・予約・アンケートといった各種フォームを、部品をドラッグ＆ドロップで並べるだけで設置できる有料プラグインです。プラグインとは、WordPressに後から機能を足す拡張部品のことです。決済連携やメール自動送信など高機能なことから、数万件規模で販売されてきた定番のフォーム作成ツールとして、制作会社や個人サイトで広く使われています。

フォーム作成プラグインの多くは、利用者が履歴書や画像などを添付できる「ファイルアップロード」の機能を備えています。便利な反面、「どんなファイルでも受け付けてしまう」と、プログラムファイルを送り込まれてサーバーを乗っ取る入口になり得るという、この種の機能につきまとう危うさがあります。今回問題になったのは、まさにこのフォーム送信とファイル受け取りの処理でした。会員登録機能で似た穴が突かれたWordPressプラグインUsersWPの脆弱性と同じく、「外部の入力を受け入れる窓口」ほど狙われやすいという共通点があります。

何が危険なのか、どこまで被害が広がるのか

今回の欠陥は、専門用語では「任意ファイルアップロード」と呼ばれる不備です。本来フォームは、画像やPDFなど決められた種類のファイルだけを受け取るべきですが、Super Formsの送信処理はファイルの種類を確かめずに受け取ってしまう状態になっていました。その結果、攻撃者はサーバー上で命令を実行できるプログラムファイル（PHPファイルなど）を送り込めます。

送り込まれたプログラムがサーバー上で実行されると、攻撃者はそのサイトの管理権限を奪い、ページの改ざん、会員情報や問い合わせデータの持ち出し、サーバーを踏み台にした別サイトへの攻撃まで、事実上何でもできるようになります。単に「ファイルが1つ置かれた」では済まず、サイトとその裏側のサーバーを丸ごと支配されるということです。危険度9.8という数字は、この「特別な権限も利用者の操作もなくサーバーを奪える」点を反映しています。

悪用に必要な前提はほとんどありません。攻撃者はログインも会員登録も不要で、ただフォームのある公開ページに対して細工した通信を送るだけです。Super Formsを設置したページがインターネットに公開されていれば、ネット上を自動でうろつくプログラムに見つかった時点で、無差別に狙われ得ます。攻撃の難度が低く、奪えるものが大きいという組み合わせが、この欠陥を特に危険にしています。

誰がこの穴を狙い、何が起きるのか

この脆弱性を突くと想定されるのは、サイトを改ざんして偽ページやスパム送信の踏み台にする攻撃者や、サーバーを乗っ取って身代金を要求するランサムウェア集団です。ログインすら不要で仕掛けられるため、彼らは脆弱なSuper Formsを自動で探し回り、見つけ次第まとめて攻撃します。制作を外注したまま更新が止まっているサイトほど、格好の的になります。

攻撃の流れは驚くほど簡単です。攻撃者はログインも会員登録もせずに、フォームの送信窓口へ悪意あるプログラムファイルを送り込み、それをサーバー上で実行してサイトの支配権を奪います。技術的な詳細は後述しますが、必要なのはわずか数回の通信だけで、被害者側のクリックや操作は一切要りません。

結果として、サイトを運営する個人や事業者は、公開ページを改ざんされたり、フォームから集めた顧客の個人情報を丸ごと抜かれたりします。乗っ取られたサイトは、知らないうちにフィッシングやマルウェア配布の拠点にされ、閲覧者にも被害が及びかねません。ひとたび制御を奪われると復旧には時間も費用もかかり、サイトの信用そのものが傷つきます。WordPressプラグインの欠陥を突いた乗っ取りは、毎月のように大量に報告されているのが実情です。

技術的に見ると何が起きているのか

問題は、フォームを送信する処理の作りにありました。識別番号が一つ割り当てられています。

CVE-2026-14894：ファイルの種類を確かめずに受け取り、実行を許してしまう

Super Formsには、フォームの送信を受け付けるsubmit_formという処理があります。本来ここでは、添付されたファイルが画像やPDFなど「安全な種類」かどうかを確認し、サーバー上で実行できるプログラムファイルは拒否すべきでした。ところが実際には、ファイルの種類を検証する仕組みが抜けており、しかもこの送信処理を呼び出す窓口（AJAXハンドラー）に、操作してよい相手かを確かめる権限チェックもありませんでした。米国立標準技術研究所（NIST）はこれを、危険な種類のファイルを無制限にアップロードできる分類（CWE-434）として整理しています。

攻撃の手口はこうです。攻撃者はまず、別の公開エンドポイントから、送信に必要な正規の合言葉（nonce、本来はいたずら防止用の使い捨てトークン）を手に入れます。あとはわずか2回の通信で、実行可能なプログラムファイルをサーバー上に設置できてしまいます。設置されたファイルはWebから直接呼び出して実行できるため、そのままサーバー上で攻撃者の命令が走ります。ログインは不要（権限要件なし）、利用者の操作も不要という、CVSSの内訳でも最も重いプロファイルです。開発元はファイルの種類と権限を正しく確認する形に修正しており、6.3.314以降で解消されています。

Super Formsは同じ種類の穴を繰り返してきた

実は、Super Formsが任意ファイルアップロードの穴を指摘されたのは今回が初めてではありません。2021年にも、ログイン不要でプログラムファイルをアップロードできる同種のRCE（当時のバージョン4.9.700以前が対象、4.9.703で修正）が公表されています。フォームの添付ファイル機能という「外部から実行ファイルを送り込める入口」は、検証が甘いと繰り返し乗っ取りの穴になりやすい、という典型でございます。

同じ轍を踏まないために大切なのは、フォームプラグインを常に最新に保つことと、アップロードされたファイルを「Web上から直接実行できない場所」に保存する運用です。便利な機能ほど、受け取る側の検証と保存場所の設計が甘いと危険が跳ね上がります。ファイルの受け取りを伴う機能で乗っ取りに至る事故は、予約受付プラグインLatePointの脆弱性のように、製品を問わず繰り返し起きています。

影響を受けるバージョンと対策

対象となるのはSuper Forms 6.3.313以前の全バージョンです。CVE-2026-14894は2026年7月7日リリースの6.3.314で修正され、リリースノートにも「Hardened form file-upload handling to prevent unauthorized file writes (CVE-2026-14894)」と明記されています。その後も修正が重ねられており、いま入れるべきはStable 6.3.316（2026年7月15日）以降です。開発元は新機能を先行提供するBetaも並行して出しており、公式のChangelogによればBetaの最新は6.4.007（2026年7月17日）。プラグインの配布は止まっておらず、開発も続いています。

すぐに更新できない事情がある場合の一時しのぎとして、Super Formsのファイルアップロード機能を一時的に無効にする、フォームを設置したページを一時的に非公開にする、といった手当てで悪用の入口を狭められます。あわせて、身に覚えのないファイルがサーバーのアップロード先フォルダに増えていないかも確認しておくと安心です。ただしこれらは時間稼ぎであり、根本的には最新版への更新が必要です。

最新版はどこから入手するのか

ここで詰まる人が一番多いはずです。Super Formsは長らくEnvatoのマーケットプレイス「CodeCanyon」で売られていたため、CodeCanyonのアカウントにログインして更新版のzipを落とすつもりでいる方が少なくありません。ところが該当の商品ページは現在アクセスできず、CodeCanyon内で「super forms」を検索しても、この製品は一覧に出てきません。Envato側から「削除した」という明示的な説明は確認できていませんが、少なくともCodeCanyon経由で修正版を受け取る手段は、実質的に残っていないと考えて動くのが安全です。CodeCanyonの購入履歴を眺めて更新を待っていても、いつまでも届きません。

現在の公式な配布はsuper-forms.comの直販で、買い切りではなくサブスクリプション形式のライセンスに変わっています。手順は次の通りです。まず、ライセンスが有効なら管理画面の「ダッシュボード > 更新」で「もう一度確認」を押すと、通常どおりSuper Formsの更新が出てきます。出てこない場合は、公式ドキュメントのダウンロードページから6.3.316のzipを取得し、「プラグイン > 新規追加 > プラグインのアップロード」から入れ替えます。このとき「現在のものを、アップロードしたもので置き換える」を選べば、作成済みのフォームや設定は残ります。ライセンスが切れている、あるいは旧マーケットプレイスでの購入しか持っていない場合は、super-forms.comでライセンスを取得し直す必要があります。なお、旧公式サイトのf4d.nlはsuper-forms.comへ転送されるので、古いブックマークからでもたどり着けます。

この一件には、WordPress公式リポジトリの外で配られる有料プラグイン特有の弱点が表れています。公式リポジトリのプラグインは配布元が一か所に定まっていて、更新は管理画面へ自動的に届きます。一方、有料プラグインの更新は「販売元のサーバーへライセンスキーを問い合わせて受け取る」仕組みで動くため、販売経路や配布元が変わったり、ライセンスが期限切れになったりすると、更新の通知そのものが止まります。修正版が出ていても管理画面には何も表示されないので、使っている側は「更新が来ないから対応済みなのだろう」と誤解したまま古いバージョンを動かし続けることになります。重大な脆弱性の公表直後にこれが起きるのが、最も危ない組み合わせです。有料プラグインを組み込んだサイトでは、管理画面の通知を待つのではなく、バージョン番号を自分で確かめ、配布元の告知を直接見に行く運用に切り替えてください。

確認できていること、まだ分からないこと

今すぐできる対策

対策の軸ははっきりしています。Super FormsをStable 6.3.316以降へ更新することが最優先です。WordPress管理画面に更新通知が出ていない場合は、CodeCanyonのアカウントを探しても見つかりません。super-forms.comのライセンスを確認し、公式のダウンロードページからzipを取得して差し替えてください。無認証で悪用できるうえPoCも出回っているため、放置した分だけ危険にさらされる時間が延びます。

更新の前後では、すでに悪用されていないかの点検もしておくと安心です。サーバーのアップロード先フォルダ（wp-content/uploads配下など）に、見覚えのないPHPファイルなどが置かれていないかを確認し、あれば削除して侵入経路を調べます。心配な場合は、バックアップからの復元やセキュリティ専門業者への相談も検討してください。使っていないプラグインを削除し、有効なものだけを最新に保つのが、WordPressを守る基本です。

よくある質問

まとめ

今回の件は、便利なフォーム作成プラグインが、ファイルの種類を確かめずに受け取っていたために、ログインなしの第三者からプログラムファイルを送り込まれ、サーバーごとサイトを乗っ取られ得るという話です。CVE-2026-14894は無認証・利用者操作なしで悪用でき、危険度は最上位クラスの9.8。数万件規模で使われてきた定番プラグインで、しかも同種の穴は過去にも突かれています。

救いは、開発元がすでに修正を公開していることです。Stable 6.3.316以降へ更新するだけで防げます。ただし、その修正版を取りに行く先が変わりました。CodeCanyonのアカウントに更新は届かず、super-forms.comの直販とダウンロードページが正しい入口です。公開されたPoCが実際の攻撃に使われた報告はまだありませんが、道具が出回った以上、更新を先延ばしにする理由はありません。ファイルの受け取りを伴う機能を持つプラグインは、便利さと引き換えに狙われやすいという前提で、こまめな更新と、アップロード先の点検を習慣にしておきたいところです。新たな悪用の動きがあれば、あらためてお伝えします。

参照元

• ▸ NVD - CVE-2026-14894
• ▸ WPScan - Super Forms の脆弱性一覧
• ▸ Super Forms 公式ドキュメント
• ▸ Super Forms v6.3.314 リリースノート（CVE-2026-14894の修正）
• ▸ Super Forms Changelog（Stable / Betaの最新版）
• ▸ Super Forms 公式サイト