Elementor Proに重大な脆弱性｜4.2.2以降への更新を推奨
WordPressの人気ページビルダー「Elementor」の有料版であるElementor Proに、重大なセキュリティ脆弱性が確認されています。
今回公開された脆弱性はCVE-2026-32475で、Elementor Pro 4.2.1以前が影響を受けます。
特定の条件を満たすWebサイトでは、ログインしていない第三者が悪意のあるファイルをアップロードし、リモートコード実行（RCE）やWebサイトの乗っ取りにつながる可能性があります。深刻度はCVSS 9.0の「Critical」と評価されています。
Elementor Pro 4.2.1以前が脆弱性の対象
今回の問題は、Elementor ProのFormウィジェットにあるFile Upload機能に存在します。
Elementor Pro 4.2.1以前では、アップロードされたファイルの拡張子を確認する処理と、実際にファイルを保存する処理の挙動に差があり、細工したリクエストによって本来拒否されるPHPファイルなどを公開ディレクトリへ保存できる可能性があります。
影響を受ける主な条件
特に注意が必要なのは、Elementor Proで作成したページに、
- Formウィジェット
- File Uploadフィールド
を設置しているWebサイトです。
求人応募フォームで履歴書をアップロードさせている場合や、問い合わせフォームで画像・資料を添付できるようにしている場合などが該当します。
Elementor Proの脆弱性で何が起こる可能性がある？
脆弱性が悪用されると、攻撃者がWebサーバー上へ悪意のあるPHPファイル等を配置できる可能性があります。そのファイルがWeb上から実行可能な状態にある場合、
- 不正なプログラムの実行
- WordPressサイトの改ざん
- 管理者権限の取得
- マルウェアの設置
- 外部サイトへの不正リダイレクト
- 情報の窃取
など、サイト全体の侵害につながる可能性があります。
ログイン権限を持たない第三者から攻撃できる可能性がある点も、今回の脆弱性の重要なポイントです。
Elementor Pro 4.2.2で修正済み
Elementor Proの脆弱性は、バージョン4.2.2で修正されています。Elementor公式の変更履歴でも、2026年8月19日に公開されたElementor Pro 4.2.2について、FormウィジェットおよびDynamic Tagsに関するセキュリティ強化が行われたことが記載されています。
そのため、Elementor Proを利用しているWebサイトでは、4.2.2以降、できれば現在提供されている最新版へアップデートすることをおすすめします。
Elementor Proを利用しているサイトで確認したいこと
ElementorとElementor Proは両方更新する
Elementor公式では、Elementor本体とElementor Proの一方だけを更新すると、互換性の問題によってサイトが正常に動作しなくなる可能性があるため、両方を最新の状態に保つことを推奨しています。
アップデート前には、
- Webサイト全体のバックアップ
- データベースのバックアップ
- テスト環境での表示確認
- Elementor／Elementor Pro双方のバージョン確認
を行うと安全です。Elementor公式も、サイト更新前のバックアップやリリースノートの確認を推奨しています。
WordPress制作会社は過去の制作サイトも確認を
ElementorはWordPressのページビルダーとして広く利用されており、企業サイトや採用サイト、LPなどでも多く採用されています。特にElementor Proでは、フォーム、ポップアップ、Theme Builder、Dynamic Tagsなど、制作現場で利用頻度の高い機能が提供されています。
そのため、制作会社では現在運用しているサイトだけでなく、過去に納品したWordPressサイトについてもElementor Proのバージョンを確認することをおすすめします。
特に、
- Elementor Pro 4.2.1以前
- File Upload付きのFormウィジェットを利用している
- 長期間プラグインを更新していない
サイトは優先的に確認した方がよいでしょう。
Elementor Proは最新版へのアップデートを
今回のCVE-2026-32475は、条件によっては未認証の第三者からリモートコード実行につながる可能性がある重大な脆弱性です。Elementor Pro 4.2.1以前を利用している場合は、少なくとも4.2.2以降へアップデートしてください。現在はさらに新しいバージョンが公開されているため、互換性を確認したうえで最新版へ更新することをおすすめします。
また、WordPress本体や他のプラグイン、テーマについても定期的にアップデートし、不要なプラグインを削除するなど、サイト全体のセキュリティ対策を継続することが重要です。
公式・参考情報
Elementor「Update Elementor and Elementor Pro」
Patchstack「Critical Unauthenticated File Upload to RCE in Elementor Pro Plugin」
