WordPressのフォーム作成プラグイン「Gravity Forms」に、認証なしでPHPオブジェクトを注入できる脆弱性CVE-2026-103039が公表された。WordfenceによるCVSS v3.1評価は9.8（CRITICAL）、影響範囲は3.1.2以前。任意コード実行は追加条件に依存するため、すべての導入環境で即座に成立すると断定せず、利用版とフォーム設定の確認を優先したい。
30秒でわかる / THE SIGNAL
WordPressのフォーム作成プラグイン「Gravity Forms」に、認証なしでPHPオブジェクトを注入できる脆弱性CVE-2026-103039が公表された。WordfenceによるCVSS v3.1評価は9.8（CRITICAL）、影響範囲は3.1.2以前。任意コード実行は追加条件に依存するため、すべての導入環境で即座に成立すると断定せず、利用版とフォーム設定の確認を優先したい。
Gravity Formsで認証不要のPHPオブジェクト注入が判明
CVE採番機関（CNA）のWordfenceは2026年10月30日、WordPress向けフォーム作成プラグイン「Gravity Forms」の脆弱性CVE-2026-103039を公開した。公式CVEレコードに記載されたCVSS v3.1の基本スコアは9.8で、編集部の基準ではCRITICALに該当する。影響するバージョンは3.1.2以前だ。問題は、投稿用のカスタムフィールドの一部設定で、外部から送られたデータが安全でないPHPの復元処理に渡り得る点にある。
任意コード実行は追加条件に左右される
CNAの説明によると、Post Custom Fieldの入力タイプがListで、コンテンツテンプレートを有効にした場合、送信値が本来使用すべき制限付きの処理ではなくWordPress標準の復元処理に渡る経路がある。これにより、認証されていない攻撃者がPHPオブジェクトを投稿メタデータへ注入できる可能性がある。ただし、プラグイン自体に任意コード実行のガジェットチェーンが存在するとは説明されていない。別のプラグイン・テーマやサーバー環境など、条件が重なる場合に深刻な影響へ発展する恐れがあるという区別が重要だ。
影響版と公式更新情報を突き合わせる
WordfenceのCNAレコードは3.1.2以前を影響対象とし、それ以外のバージョンを原則として影響外と登録している。Gravity Forms開発元の公式変更履歴には、3.1.3が10月1日、3.2.0が10月20日、3.2.1が10月28日に公開されたことが記載され、いずれもセキュリティ強化を含む。ただし、各リリースノートにCVE-2026-103039の識別番号は書かれていない。導入者は利用バージョンを確認し、公式配布の新しいリリースへ更新したうえで、フォームの動作と投稿設定を検証したい。
実悪用は未確認、管理対象サイトの点検を
2026年10月30日付のCISAのCVE補足情報には、悪用状況が「none」と記録されている。また、公開前に取得したCISA KEVカタログ2026年10月30日版に本CVEは掲載されていない。ただし、これらは攻撃が存在しないことの証明ではなく、公開情報上の確認状況に限られる。WordPressのサイト管理者は、Gravity Formsのバージョンと公開フォームの設定を棚卸しし、公式更新版への移行と変更後の検証を優先することが合理的だ。