Contact Form 7に脆弱性、6.2.4.1へ更新を【2026年10月】

お問い合わせフォームに Contact Form 7 を入れたまま、プラグインの更新は「通知が来たら押す」くらいにしている人も多いのではないでしょうか。

2026年10月29日、Contact Form 7 は 6.2.4 を公開し、認証なしで悪用できる「任意ファイルアップロード」の脆弱性を修正しました。 同じ日には小さな修正版の 6.2.4.1 も出ていて、こちらが最新版です。

Contact Form 7 6.2.4

Contact Form 7 は WordPress.org で 有効インストール数 1,000万以上 の定番プラグインです。脆弱性があったのは 10月に出たばかりの 6.2〜6.2.3 ですが、開発者は すべての利用者に更新を勧めています。WordPress でフォームを置いている人は、まずプラグインの版を確認したい 発表と言えます。

Contact Form 7 6.2.4とは？一言でまとめると

「ファイル添付欄を悪用される脆弱性を直し、添付できる拡張子の扱いを厳しくしたセキュリティ修正版」 です。

「任意ファイルアップロード」は、本来は受け付けないはずのファイルを、外部からサーバーに置かれてしまう種類の脆弱性です。「認証なし」は、サイトにログインしていない第三者でも狙える という意味です。

発表の概要：何が起きたのか

公式ブログ「Contact Form 7 6.2.4」の要点は次のとおりです。

• 6.2.4 は、複数のセキュリティ修正と強化を含むマイナーアップデート
• 問題は 認証なしの任意ファイルアップロード
• 攻撃者は 6.2〜6.2.3 にある複数の欠陥を組み合わせて、通常は 検証で拒否されるはずのファイルをアップロード し、送信後すぐ削除されるはずのファイルを残す ことができた
• 理論上は、ファイルのアップロード欄があり、ディレクトリの中身を公開で一覧表示する設定の HTTP サーバー に置かれたフォームなら、すべて標的になりうる
• 脆弱性があるのは 6.2〜6.2.3 だけだが、強化はすべての版に効くため、全員に 6.2.4 への更新を推奨

公式の説明は 「何ができてしまうか」の概要まで で、欠陥の細かな中身は書かれていません。また、11月1日時点の公式発表には CVE などの識別番号や深刻度の評価も載っていません。報告を受けた WPScan の公開データベースにも、この件の項目はまだ見当たりません。

ふだんの Contact Form 7 は、添付されたファイルを 検証してから一時フォルダーに移し、メールに添付して送ったあと削除する 仕組みです（公式ドキュメント）。今回はこの 「検証で弾く」「送信後に消す」の両方をすり抜けられた のがポイントです。

影響を受けるサイト：3つの条件

公式の説明をもとにすると、特に注意が必要なのは次の3つが重なるサイト です。

① Contact Form 7 が 6.2〜6.2.3

脆弱性があったのは 6.2〜6.2.3 です。6.2 は 2026年10月6日 に出た版なので、10月に入ってから更新したサイトが当てはまります。

※ 2026年11月1日時点。Contact Form 7 公式ブログ・WordPress.org の変更履歴より

② フォームにファイルのアップロード欄がある

狙われるのは ファイルを添付できるフォーム です。公式の説明は、ファイルのアップロード欄があるフォーム を標的になりうるものとして挙げています。

③ サーバーがディレクトリの一覧を公開している

もう一つの条件は、Web サーバーが「ディレクトリの中身の一覧」を誰でも見られる設定になっていること です。index.html などが無いフォルダーの URL を開くと、ファイル名の一覧が表示される状態を指します。

ただし公式は 「理論上は」と前置きした説明 で、条件に当てはまらなければ安全と言い切ってはいません。どの条件でも、まずは更新が先 です。

何をすればいい？確認と更新の手順

① バージョンを確認する

管理画面の 「プラグイン」→「インストール済みプラグイン」 で、Contact Form 7 の説明欄にバージョンが表示されます。新しい版がある場合は、ここに更新の通知も出ます。

VPS で WP-CLI を使っているなら、サーバー上で次のコマンドでも確認できます。

wp plugin list

6.2.4.1 になっていれば最新 です。

② 6.2.4.1 に更新する

管理画面の 「ダッシュボード」→「更新」、または 「プラグイン」画面の更新の通知 から更新できます。WP-CLI なら次のとおりです。

wp plugin update contact-form-7

最新の 6.2.4.1 は WordPress 7.1 以上・PHP 8.3 以上 が動作要件です。WordPress 本体も、10月28日に出た 7.1.4 にそろえておくと安心です。

③ プラグインの自動更新を見直す

WordPress 本体のマイナー更新と違い、プラグインの自動更新は、管理者がプラグインごとに有効にする方式（WordPress 5.5 から） です。「プラグイン」画面の 「自動更新を有効化」 で切り替えられます。

公式ドキュメントによると、自動更新は WP-Cron で動くため、環境によってはうまく動かない ことがあります。有効にしている場合も、「ツール」→「サイトヘルス」でエラーが出ていないか を確かめておきましょう。

④ ディレクトリ一覧の設定を確認する（一般的な対策）

公式が条件に挙げた ディレクトリの一覧表示は、一般に公開サーバーでは止めておく設定 です。自分で Web サーバーを設定している VPS なら、次の点を確認できます。

これはあくまで 一般的な対策 です。公式は更新を求めており、設定の見直しは更新の代わりにはなりません。レンタルサーバーの場合は、各社の管理画面やマニュアルで確認しましょう。

VPS で最初にやっておきたいセキュリティ設定は、こちらで解説しています。

あわせて読みたい

XServer VPSのセキュリティ対策：最初にやる6つの設定【2026年版】

更新で変わること：zipなどを受け付けている人は注意

6.2.4 では、安全のために 添付ファイルの拡張子の扱いが変わりました。公式も 「一部の使い方に影響しうる変更」 として説明しています。

① 拡張子は「許可リスト」方式に

ファイル名を安全にする関数 wpcf7_antiscript_file_name() が、これまでの 「危険な拡張子のリスト」から「許可する拡張子のリスト（safelist）」方式 に変わりました。リストに無い拡張子のファイルは、拡張子の部分が自動で安全なものに変換されます。

既定のリストに入っているのは、主に次の種類です（全一覧は公式ブログに掲載）。

zip は既定のリストに入っていません。 Word・Excel のファイルの拡張子も、公式の既定のリストには見当たりません。応募書類や見積もりの資料などを添付で受け付けているフォームは、更新後に受け取ったファイルの名前を確かめておきたい ところです。

② 許可する拡張子を足すには

公式ブログは、wpcf7_file_extension_safelist フィルターで 許可リストに拡張子を足す 例を載せています。zip を加える場合は次のとおりです。

add_filter( 'wpcf7_file_extension_safelist', function ( $safelist ) {
    return array_merge( $safelist,  ['zip'] ); // Adding .zip
} );

足す拡張子は 本当に受け付ける必要があるものだけ にとどめるのが無難です。

③ 開発者向け：関数の引数が変わった

wpcf7_unship_uploaded_file() は、第2引数 $options が必須 になり、第3引数 $uploaded_files が追加 されました。公式は「ふだん使う関数ではなく、知らない人がほとんど」としつつ、自分のコードで呼んでいる場合は引数を直すよう 呼びかけています。

6.2.4.1とは？同じ日に出た修正版

6.2.4.1 は、6.2.4 と同じ10月29日に出た小さな修正版 です。WordPress.org の変更履歴には 「FormDataTree-PHP を 2.0.10 に更新」 とだけ書かれています。

FormDataTree-PHP は、6.2.4 で 2.0.9 に更新されたばかりの、Contact Form 7 が内部で使う部品の一つです。6.2.4 の時点で脆弱性は直っていますが、これから更新するなら最新の 6.2.4.1 にしておけば十分 です。

IT Picks的な所感

今回の脆弱性は 6.2〜6.2.3 の約3週間に出た版だけ で、しかも ファイル添付欄があるフォーム が主な対象です。名前とメールアドレスだけの問い合わせフォームなら、影響は限られると考えています。

一方で、ログインなしで狙える種類 なのは見過ごせません。採用の応募や見積もりの依頼で ファイル添付を受け付けているサイトほど、早めの更新が欠かせません。更新後に zip などが届かなくなる可能性もあるので、更新したら一度フォームから送信して確かめておく と安心です。

10月は WordPress 本体の 7.1.4（脆弱性22件） に続いて、定番プラグインでも修正が出ました。本体だけでなく、プラグインも「本当に新しい版になっているか」を確かめる習慣 をつけておきたいところです。

あわせて読みたい

WordPress 7.1.4で脆弱性22件、確認と更新【2026年10月】

まとめ

Contact Form 7 6.2.4 のポイントをまとめます。

• 公開日：2026年10月29日（6.2.4 と 6.2.4.1）
• 最新版：6.2.4.1（FormDataTree-PHP 2.0.10）
• 脆弱性：認証なしの任意ファイルアップロード
• 脆弱な版：6.2〜6.2.3（ただし全利用者に更新を推奨）
• 狙われやすい条件：ファイルのアップロード欄 があり、サーバーが ディレクトリの一覧を公開 している
• 更新後の注意：拡張子は 許可リスト方式 に。zip などは wpcf7_file_extension_safelist で追加
• 確認方法：「プラグイン」画面 または wp plugin list

まずは管理画面の「プラグイン」を開いて、Contact Form 7 が 6.2.4.1 になっているか確かめておきましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。