Contact Form 7に脆弱性｜WordPressサイトへの影響と今すぐ確認したい対策
掲載日 情報確認日：2026年11月5日
問い合わせ窓口の安全をイメージしたイラストです。
2026年10月29日、WordPressのお問い合わせフォーム用プラグイン「Contact Form 7」で、セキュリティ上の問題と修正版が公表されました。
最初に確認したいのは、自社サイトでContact Form 7を使っているか、そしてバージョンはいくつか、という点です。今回の対象は6.2〜6.2.3です。該当する場合は、バックアップと動作環境を確認し、速やかに修正を含む最新版へ更新しましょう。
Contact Form 7公式：6.2.4の公開案内（外部サイト）
今回は、この問題と対応の進め方を、専門知識がない方にも分かるようにご紹介します。
※情報確認日時点の内容です。対応前に、開発元の最新情報もご確認ください。
Contact Form 7で見つかった脆弱性とは？
Contact Form 7では、名前やメールアドレス、相談内容の入力欄のほか、写真やPDFなどを添付する項目も設けられます。
フォームの入力内容や添付ファイルを、メールで受け取るイメージです。実際の管理画面ではありません。
「脆弱性」は、ソフトウェアにあるセキュリティ上の弱点です。今回はファイルの受付処理で見つかりました。
通常、添付ファイルは種類やサイズを確認し、サーバーに一時保存されます。メールに添付して送信した後は、一時ファイルを削除する仕組みです。
Contact Form 7公式：ファイルのアップロードと添付の仕組み（外部サイト・英語）
今回の対象バージョンでは、複数の不備を組み合わせることで、本来受け付けないはずのファイルがアップロードされ、そのファイルがサーバーに残る可能性があります。 この問題を悪用する側が、WordPressの管理画面にログインする必要はありません。
Contact Form 7公式：今回修正された問題の説明（外部サイト）
通常のファイル処理と、今回の問題の違いを簡略化した概念図です。攻撃対象になり得る条件は、次の項目で説明します。図はクリック・タップすると拡大できます。
不正なファイルはサイトへの侵入などにつながるおそれがありますが、その実行可否はサーバーの設定などにも左右されます。今回の発表だけで個々のサイトの被害の有無は判断できないため、利用環境とサイトの状態を確認しましょう。
Patchstack：Contact Form 7の脆弱性情報（外部サイト・英語）
影響を受けるバージョンとサイトの条件
| 区分 | バージョン |
|---|---|
| 今回の脆弱性の影響を受ける版 | 6.2、6.2.1、6.2.2、6.2.3 |
| 脆弱性が修正された版 | 6.2.4 |
| 情報確認日時点の最新配布版 | 6.2.4.1 |
6.2.4で修正済みですが、これから更新する際は公式の最新配布版を確認してください。
Contact Form 7公式：修正版の公開案内（外部サイト）／WordPress.org：Contact Form 7の公式配布ページ（外部サイト）
開発元は、対象バージョンを使用し、さらに次の2つの条件がそろうサイトが、理論上の攻撃対象になり得ると説明しています。
- フォームに、利用者がファイルをアップロードできる項目がある。
- サーバーが、フォルダー内のファイル一覧を外部に表示する設定になっている。
「ファイル一覧の表示」とは、フォルダーのURLを開いたとき、中のファイル名などが一覧で見える状態です。
Contact Form 7公式：攻撃対象になり得る条件（外部サイト）
履歴書を受け取る採用フォームや、図面を添付する見積もりフォームなど、お問い合わせ以外のフォームも確認してください。
添付欄のないフォームは今回の条件には当てはまりませんが、それだけでサイト全体が安全とは判断できません。サーバーの設定が分からない場合は、制作会社や保守担当者に確認しましょう。
サイト運営者が確認したいこと
対応は、次の4つの手順で進めましょう。
更新後は、メールの受信まで確認しましょう。図はクリック・タップすると拡大できます。
1. 利用状況とバージョンを確認する
WordPressの管理画面で、「プラグイン」→「インストール済みプラグイン」を開きます。Contact Form 7があるかを探し、表示されているバージョン番号を確認してください。
WordPress公式：プラグインの確認と更新（外部サイト・英語）
管理画面に入れない場合や、プラグインの項目が見当たらない場合は、管理を担当している方に依頼します。「Contact Form 7の利用状況とバージョン、今回の脆弱性への対応状況を確認したい」と伝えるとよいでしょう。
2. バックアップと動作環境を確認する
更新前には、サイトのファイルとデータベースの両方をバックアップします。バックアップがあるだけでなく、不具合が出た場合の復元方法も確認しておきましょう。
WordPress公式：バックアップの取り方（外部サイト・英語）
また、確認日時点の最新版6.2.4.1には、次の動作条件があります。
| 項目 | 必要なバージョン |
|---|---|
| WordPress本体 | 7.1以上 |
| PHP | 8.3以上 |
WordPress.org：Contact Form 7の動作条件（外部サイト）
PHPは、サーバー上でWordPressを動かすために使われるプログラミング言語です。表の数値は最低動作条件であり、PHP自体の脆弱性への対応が済んでいることを示すものではありません。
古い環境では、プラグインだけを更新できない場合があります。WordPressやPHPの変更も必要なら、テーマや他のプラグインへの影響も含めて管理担当者に相談し、可能であれば検証環境で事前に確認してください。
3. 修正を含む最新版へ更新する
準備ができたら、管理画面からContact Form 7を更新します。更新完了の表示に加えて、バージョン番号が変わったことも確認しましょう。
WordPress公式：プラグインの更新手順（外部サイト・英語）
すぐに更新できない場合も、そのまま放置せず、管理担当者に暫定対策を相談してください。必要に応じて、影響するフォームの受付処理を一時停止し、電話など別のお問い合わせ方法を案内することも検討します。
フォームを画面から隠すだけでは、受付処理が残る場合があります。一時停止する際も、技術的な対応を含めて依頼しましょう。
4. フォームの送信・受信を確認する
更新後は、訪問者と同じようにフォームを操作し、次の項目を確認します。
| 確認する項目 | 確かめたいこと |
|---|---|
| フォームの表示と送信 | 入力欄が表示され、必要事項を入力して送信できるか |
| 管理者への通知 | 設定した宛先で通知メールを受信できるか |
| 自動返信 | 自動返信を設定している場合、送信者にもメールが届くか |
| 添付ファイル | 必要な種類のファイルを添付でき、受信後に開けるか |
今回の更新では、ファイルの拡張子を許可リストで確認する方式に変わりました。リストに含まれない拡張子は、安全な代替の拡張子へ変換されます。添付機能を使っている場合は、普段受け取る種類のファイルで、受信後のファイル名や内容まで確認してください。独自のカスタマイズも点検しましょう。
Contact Form 7公式：更新に伴う変更点（外部サイト）
よくある質問
古い6.1系を使っている場合も、更新が必要ですか？
今回の問題の対象は6.2〜6.2.3ですが、開発元は追加のセキュリティ強化も含めて、すべての利用者に更新を推奨しています。対象外の古い版でも、動作環境を確認しながら更新を検討してください。
Contact Form 7公式：すべての利用者への更新推奨（外部サイト）
サーバー会社が対策していれば、確認は不要ですか？
サーバーの管理と、WordPressのプラグインの更新は、別の作業になることがあります。契約しているサービスがどこまで対応しているかを確認しましょう。以前のPHPの問題に対応済みであっても、今回のプラグインの更新状況は別途確認が必要です。
更新すれば、すでに起きた被害も元に戻りますか？
更新だけで、すでに置かれた不正なファイルや改ざんまで除去できるとは限りません。覚えのない管理者アカウントやサイトの変更、不審なファイルなどがある場合は、更新とは別に調査と復旧が必要です。気付いた日時や状況を記録し、管理担当者へ相談してください。
WordPress公式：サイトへの侵入が疑われる場合の対応（外部サイト・英語）
お問い合わせフォームを安心して使い続けるために
お問い合わせフォームは、お客様からの相談や見積もり依頼を受け取る大切な窓口です。安全に使い続けるためには、プラグインを更新する人と、更新後に動作を確認する人を決めておくことも大切です。
自動更新を利用している場合も、更新結果やメールの受信を定期的に確認する運用を組み合わせましょう。今回のニュースを、普段の管理やバックアップ体制を見直すきっかけにしていただければと思います。
自社サイトの状況が分からない場合や、更新が心配な場合は、私たちエフ・ファクトリーへご相談ください。必要な確認や更新、継続的な保守についてご案内します。
関連記事：PHPの重大な脆弱性「PHP2Shell」とは？WordPressサイトへの影響と今すぐ確認したい対策
