【2026年10月】WordPressプラグインの脆弱性まとめ｜Ninja Forms・Forminator・Ultimate Memberなど対象と修正版

2026年10月の上旬（おおむね10月2日〜16日）に、よく使われているWordPressプラグインの脆弱性がいくつも公表されました。その中には、実際に攻撃が確認されたNinja Formsや、ログインしなくても悪用できるForminator・Ninja Formsの問題が含まれています。

結論から書くと、この記事で取り上げた8つのプラグインは、どれも修正版が出ています。使っているプラグインを最新版に更新すれば、今回の脆弱性の影響からは抜けられます。ただし、更新前に攻撃されていた場合は、更新だけでは元に戻りません。特にNinja Formsを使っていたサイトは、後半の点検のポイントも確認してください。

2026年10月上旬に報告された主な脆弱性

脆弱性の情報は、Wordfence・Patchstack・WPScanといったWordPress専門のセキュリティ会社や、CVE（脆弱性の共通番号）のデータベースで公表されます。国内でも、KUSANAGIなどが毎週まとめを出しています。この記事では、その中から利用者が多く、影響の大きいものを8つ選び、各プラグインの公式の更新履歴と照らし合わせて、修正版を確認しました（2026年10月17日時点）。

なお、「脆弱性が報告された」ことと「実際に被害が出ている」ことは別です。また、危険度を示すCVSSが高くても、攻撃にログインや管理者の権限が必要なものは、狙われにくい傾向があります。下の表では、ログインが必要かどうかもあわせて書いています。

特に確認したいプラグイン一覧

Elementorは、本体の大きな脆弱性は9月下旬に公表されたもので、10月上旬に新しく報告されたのは、主に「Element Pack」「Premium Addons」「PowerPack」などのアドオン（追加機能のプラグイン）のXSSです。本体も10月13日の4.3.5で「セキュリティの強化」が入っているので、本体とアドオンの両方を最新にしておきましょう。

Ninja Formsは実際に攻撃が確認されている

今回の中で最も急いで対応したいのがNinja Formsです。セキュリティ会社のPatchstackは、10月5日ごろからNinja Forms（3.15.3以前）の脆弱性を使った攻撃を確認したと発表しています。ログインしていない攻撃者がサイトに悪意のあるスクリプトを保存させ、それが実行されたときに、サイトを乗っ取るための仕掛けを入れていく手口です。

攻撃が成功すると、次のようなものがサイトに仕込まれていました。

• 管理画面のユーザー一覧に表示されない、隠れた管理者アカウント
• 本物のように見える偽のプラグイン（「WP Smart Thumbnails」という名前のもの）
• ログインなしで使えるファイル管理の仕組み
• パスワードなしでログインできる特別なリンク

Ninja Formsは、その後も3.15.5（未認証のXSSの修正）、3.15.6（10月15日、マージタグ経由のショートコード実行やXSSへの追加の対策）と、続けてセキュリティの修正を出しています。使っているサイトは3.15.6へ更新したうえで、後で説明する点検を必ず行ってください。

今回の脆弱性にはどんな危険がある？

今回の報告で多かった種類を、運営者向けに簡単に説明します。

特に気をつけたいのは、フォーム系と会員系のプラグインです。どちらも、ログインしていない訪問者からの入力を受け付けるのが仕事なので、入口の検査が甘いと、そのまま攻撃の入口になります。

自分のサイトが対象か確認する方法

• WordPressの管理画面にログインする
• 「プラグイン」→「インストール済みプラグイン」を開く
• 上の表のプラグインがあるかを探す（フォーム・会員・SEO・ページビルダーの名前に注意）
• 名前の下に表示されている「バージョン」を、表の「影響を受けるバージョン」と比べる
• 該当していれば、「今すぐ更新」で最新版にする

「有効化」していないプラグインは今回の脆弱性の入口になりにくいですが、使っていないなら削除しておくのが基本です。また、一覧に「更新があります」と出ていなくても、自動更新の設定や表示の遅れで古いままのことがあります。バージョンの数字で確認してください。

脆弱性が見つかったときの対策

• 更新の前にバックアップを取る
• 修正版へ更新する。更新後、フォームの送信や会員登録など、そのプラグインの主な機能が動くかを確認する
• すぐに更新できない場合は、更新できるまでプラグインを一時的に無効化する
• 「ユーザー」一覧で、見覚えのない管理者アカウントがないかを確認する
• 見覚えのないプラグインが入っていないかを確認する（今回のNinja Formsの攻撃では偽のプラグインが入れられた）
• フォームの送信内容に、意味の分からない記号の並びやスクリプトのような文字列がないかを見る

注意したいのは、隠れた管理者アカウントは、管理画面の一覧に表示されないことがある点です。一覧に異常がなくても安心はできません。データベースのユーザーの数と一覧の数が合っているか、wp-content/mu-plugins に見覚えのないファイルがないかまで確認するのが確実です。不安な場合は、専門家に調査を頼んでください。更新の手順は安全なアップデート手順、不正なファイルの駆除の流れはマルウェア駆除の記事にまとめています。

当社の脆弱性情報の確認のしかた

当社が保守を担当しているサイトでは、Elementor・Jetpack・WooCommerceなど、よく使われるプラグインが多く入っています。こうしたプラグインの脆弱性の情報は、生成AIを使って毎週集め、保守先で使っているプラグインに該当するものがないかを確認しています。

ただし、集めた情報をそのまま使うことはしません。今回の記事を書くときも、脆弱性データベースの情報と、各プラグインの公式の更新履歴を1件ずつ照らし合わせました。データベースによって修正版の書き方が違ったり、「影響を受けるバージョン」の範囲が少しずれていたりすることがあるからです。週に1回、まとめて集めて、公式の情報で裏を取る。この手順なら、プラグインが多いサイトでも無理なく続けられます。

また、ほかの記事で調べたことがつながる場面もあります。たとえばForminatorは、ブロックエディターの開発版（Gutenberg 24.2）で「React 19では動かない」と判定されているプラグインの1つでした（詳しくはGutenberg 24.2とReact 19の記事）。脆弱性と互換性の両方の面で、更新の情報を追いかけておきたいプラグインです。

まとめ：最新版への更新と、侵入されていないかの点検を

• 使っているプラグインとバージョンを確認する
• 今回の8つは、どれも修正版が出ている。最新版へ更新する
• Ninja Formsは実際の攻撃が確認されている。更新に加えて、隠れた管理者や偽のプラグインがないかを点検する
• 更新しても、更新前に入り込まれていた場合は元に戻らない

10月にはほかにも、高速化プラグインの10Web Boosterに、ログイン不要でファイルを置かれる重大な脆弱性が見つかっています。プラグインの数が多いサイトほど、定期的な確認が欠かせません。

「どれが該当するか自分では判断できない」「すでに攻撃されているかもしれない」という場合は、WordPressトラブル対応サービスで調査から復旧までお引き受けします。毎週の脆弱性の確認と更新をまとめて任せたい場合は、保守サポートサービスをご検討ください。まず現状を知りたい方は、無料AI診断でサイトのリスクを確認できます。

参考情報

• Ninja Forms などのXSSを使った攻撃（SecurityOnline、Patchstackの報告）
• CVE-2026-90438 Ninja Forms（SentinelOne）
• CVE-2026-65459 Forminator（OpenCVE）
• CVE-2026-96451 Ultimate Member（The Hacker Wire）
• CVE-2026-104752 Rank Math SEO（Strix）
• CVE-2026-106608 WooCommerce（The Hacker Wire）
• CVE-2026-106602 Jetpack（Strix）
• Elementor のCSRF脆弱性（The Hacker News）
• Wordfence 脆弱性データベース／Patchstack データベース

この記事の内容は2026年10月17日時点の情報です。各プラグインの最新の状況は、公式の配布ページの更新履歴で確認してください。

この記事を書いた人

矢部 敦合同会社Edel Hearts 代表

WordPress専門の開発会社を経営。プラグイン開発・カスタマイズ・保守を専門とし、18時間におよぶUdemyのWordPress講座を開講。出典付きで回答するAIチャットボット「Edel AI Hybrid Chat」開発者。著書『WordPress はじめての最小プラグイン』（Kindle）。本ブログの記事は、実際の開発・運用で得た一次情報をもとに執筆しています。会社情報はこちら