Ninja FormsのXSS脆弱性CVE-2026-94504が悪用、3.15.5へ更新

WordPressのフォーム作成プラグイン「Ninja Forms」の脆弱性CVE-2026-94504が、悪用が確認されているとして、セキュリティ会社Patchstackのデータベースに載っています。影響する版は3.15.3以前、修正版は3.15.4です。2026年10月9日に確認したWordPress.orgの最新版は3.15.5(9月28日公開)です。

社内の問い合わせフォームや採用サイトのエントリーフォームにNinja Formsを使っている会社は、プラグインの版を確かめ、3.15.5へ更新します。

公式の資料で確かめられたこと

NVDの説明では、Ninja Forms 3.15.3は、匿名で送られた(リッチテキストでない)テキストエリアの値を、安全な形に直さずに、旧来の送信データの編集画面に表示します。攻撃者がテキストエリアから抜け出すスクリプトを保存すると、管理者が送信データのURLを開いたときに、そのスクリプトがWordPressの管理画面と同じ権限の場で動きます。

3.15.4の変更履歴には、「管理画面の送信データの編集画面で、出力のエスケープを強化した」と書かれています。この項目が、上の問題の修正に当たります。

3.15.4以前には、もう1件のXSSがある

Patchstackは、3.15.4以前に、段落テキスト(リッチテキスト)のフィールドの送信を使ったXSS(CVE-2026-90438・2026年10月1日公開・認証不要・CVSS 7.1)があり、3.15.5で修正したと記載しています。3.15.5の変更履歴にも、段落テキスト(リッチテキスト)の送信のサニタイズ(無害化)を強化したと書かれています。こちらにはPatchstackの「悪用が確認されている」の印は、10月9日に確認したページには付いていません。

書かれていないこと

次の点は、10月9日に確認した公式の資料には書かれていません。この記事でも書きません。

• 攻撃が始まった日や、被害に遭ったサイトの数
• 悪用の中で、攻撃者が管理者の権限で何をしたか(Patchstackのページは、一般的な説明として、サイトにスクリプトを入れて訪問者の情報を盗んだりアカウントを乗っ取ったりできると書くにとどまります)
• Ninja Formsの開発元からの、悪用についてのお知らせ(変更履歴は「強化」「strengthen」の言葉で書かれ、悪用には触れていません)

日本での提供について、プラグインのページには、日本語でも利用できると表示されています。日本の利用者向けの条件は書かれていません。

影響する会社・しない会社

• 影響する: WordPressのサイトにNinja Forms(無料の本体)の3.15.3以前を入れている会社。問い合わせフォーム、資料請求、採用のエントリーフォームなどが当たります。
• 影響する(念のため確認): 3.15.4を入れていて、3.15.5に上げていない会社。段落テキスト(リッチテキスト)のXSS(CVE-2026-90438)が残っています。
• 影響する: 管理者が、WordPressの管理画面で「送信データ」を日常的に見ている会社。攻撃は、管理者がその画面を開く場面で動くためです。
• 影響しない: Ninja Forms 3.15.5以降に更新済みの会社。更新前に不正な内容が入っていないかだけは、確認が要ります。
• 影響しない: Ninja Formsを入れていない会社。ほかのフォーム用のプラグインは、この記事の対象外です。それぞれの開発元の情報で確かめます。

「うちはWordPressを使っているが、誰が入れたか分からない」会社は、管理画面の「プラグイン」の一覧で、Ninja Formsの有無と版を見ます。外部の制作会社が運用している場合は、その会社に版を聞きます。

情シスが今日やること

1. WordPressの管理画面で「プラグイン」「インストール済みプラグイン」を開き、Ninja Formsの有無と版を確かめる。サイトが複数ある会社は、全部のサイトで見る
2. 3.15.5より前なら、「今すぐ更新」で3.15.5へ上げる。制作会社が管理しているサイトは、更新の依頼と完了の連絡を、今日のうちに出す。更新の前にサイトのバックアップを取る
3. 更新のあと、Ninja Formsの「送信データ」を開く前に、一覧で、見慣れないスクリプトめいた文字列(「script」「onerror」など)を含む投稿がないかを見る。見つけたら、詳細を開かず削除する。念のため、WordPressの「ユーザー」の一覧で、見覚えのない管理者がいないかも確認する
4. 不審な投稿や管理者があれば、管理者のパスワードを変え、制作会社やサーバーの管理者に連絡する。サイトのログの確認は、サーバーの契約先に相談する
5. 今後のため、WordPressのプラグインの更新の担当と頻度(たとえば週1回)を決める。自動更新を使う場合は、管理画面のプラグインの一覧にある「自動更新を有効化」を使う

3と4は、公式の資料に書かれた手順ではなく、保存型XSSの一般的な確かめ方です。

プラグインの脆弱性が原因とされた不正アクセスの例は、ベネッセグループのアップ、塾の2サイトに不正アクセス 応募者情報に閲覧のおそれで整理しています。

社員や制作会社への連絡文は、次の文例集を書き換えて使えます。