https://t.co/Gdhh6l34WF Contact Form 7 6.2.4 This is a security fix. Update ASAP.
— Takayuki Miyoshi (@takayukister) October 29, 2026
出典：X（@takayukister）
Contact Form 7 6.2.4が公開されました。複数のセキュリティ修正と改善を含むマイナーアップデートです。今回の脆弱性が見られるのは6.2〜6.2.3ですが、セキュリティ強化はすべてのバージョンに適用されるため、公式は全ユーザーに6.2.4への更新を推奨しています。
みつた
こんにちは！Contact Form 7 6.2.4で、ファイルアップロードの脆弱性が修正されました。公式は全ユーザーに更新を推奨しているので、独自コードへの影響も確認しておきたいですね。
修正された脆弱性と対象条件
今回の問題は、認証されていない攻撃者による任意のファイルアップロードです。Contact Form 7 6.2〜6.2.3にある複数の不備を組み合わせることで、通常は検証処理でブロックされるファイルをアップロードし、送信直後に削除されるはずのファイルを残すことができます。
公式発表では、理論上、次の両方の条件を満たすフォームが攻撃対象になり得ると説明されています。
- ファイルアップロード欄がある
- ディレクトリの内容を公開表示する設定のHTTPサーバー上で稼働している
この問題はShinya Murakami氏とJakub Herman氏が発見し、WPScanを通じて報告されました。
動作要件と更新の案内
Contact Form 7 6.2.4の動作要件は、WordPress 7.1以上です。WordPress 7.1.4までの動作確認が記載されています。
脆弱性が見られるバージョンは6.2〜6.2.3に限られますが、公式はセキュリティ強化がすべてのバージョンに適用されることを理由に、全ユーザーへ6.2.4への更新を推奨しています。
情報元・出典：
