脆弱性の詳細

Advanced Custom Fields: Extended / Advanced Custom Fields: Extended PRO：脆弱性情報

WordPressCVE-2026-94263重要度：中悪用状況：未確認修正版：要確認

対象版の公式記載に相違があるため、以下の説明だけで対象外・修正済みと判断しないでください。Advanced Custom Fields: Extended と Advanced Custom Fields: Extended PRO WordPress プラグインの 0.9.2.4 から 0.9.2.7 までは、フロントエンドフォームの確認メッセージでショートコード処理を確実に無効化しておらず、設定が無い状態でフォームを送信した未認証の訪問者がサーバー側で任意のショートコードを実行させられる可能性があります。

原文の抜粋 1 原文の抜粋 2 原文の抜粋 4

公式情報から自動作成した日本語解説・作成 2026/10/23 22:22 JST

どんな危険？

任意のショートコードがサーバー側で実行されるため、攻撃者がプラグインの権限でコードを動かすことができる。

原文の抜粋 1

自分は対象？

対象版の公式記載に相違があります。Advanced Custom Fields: Extended PROについて、説明文は「0.9.2.4から0.9.2.7」、対象表は「0.9.2.4以上、0.9.2.8未満」です。説明文と対象表のどちらか一方だけで対象外や修正済みと判断せず、利用中の版を添えて提供元に確認してください。
公表された条件根拠 1 原文の抜粋 1 原文の抜粋 4
未認証の訪問者がフロントエンドフォームを送信できること。
公表された条件根拠 1 原文の抜粋 1 原文の抜粋 2
そのフォームの保存設定にショートコード処理を無効化する設定が含まれていないこと。
公表された条件根拠 1 原文の抜粋 1 原文の抜粋 2
公式の対象表：Advanced Custom Fields: Extended。影響ありとして記載：0.9.2.4以上、0.9.2.8未満。
公表された条件根拠 1 原文の抜粋 3
公式の対象表：Advanced Custom Fields: Extended PRO。影響ありとして記載：0.9.2.4以上、0.9.2.8未満。
公表された条件根拠 1 原文の抜粋 4

対象の版: Advanced Custom Fields: Extended：0.9.2.4以上・0.9.2.8未満Advanced Custom Fields: Extended PRO：0.9.2.4以上・0.9.2.8未満
修正版: このデータでは未確認。更新が提供されていない、という意味ではありません。

どうすればいい？

利用中の製品名・版と上の対象条件を管理担当者に伝え、この脆弱性に対応した修正の有無、適用する版・手順・実施日を確認してください。
一般的な作業手順根拠 1 原文の抜粋 3

使っているバージョンの調べ方

管理担当者に、利用中の製品名・開発元・版やビルド番号を確認してもらいます。上に記載した対象の機能・設定・利用者の権限も、実際の環境と照合してください。
一般的な作業手順根拠 1 原文の抜粋 3
「Advanced Custom Fields: Extended / Advanced Custom Fields: Extended PRO」が本体・プラグイン・テーマのどれかを確認します。管理画面の「プラグイン」と「外観」→「テーマ」で製品名・開発元を照合し、本体の番号は「ツール」→「サイトヘルス」→「情報」で確認してください。
一般的な作業手順根拠 6 根拠 7 根拠 8
管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。
一般的な作業手順根拠 8 根拠 6

すぐに更新できないとき

更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。
一般的な作業手順根拠 6 根拠 2 根拠 3 根拠 4

対応が終わったら確認すること

対応を依頼した場合は、実施した版・設定と完了日時、この脆弱性への修正が含まれると判断した根拠を担当者から受け取ってください。更新後は普段使う主要な操作も確認します。
一般的な作業手順根拠 1 原文の抜粋 3
更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。
一般的な作業手順根拠 9 根拠 10

まだ分からないこと・判断の限界

この解説は、利用中の機器・サイトの設定や修正の適用状況を検査した結果ではありません。製品名・版と上に示した条件を、実際の環境と照合してください。
今回取得した資料から、修正済みと明記された版の番号を取り出せていません。修正が存在しないという意味ではありません。対象の製品・現在の版を添え、提供元に修正版の番号と適用方法を確認してください。
対象版の公式記載に相違があります。Advanced Custom Fields: Extended PROについて、説明文は「0.9.2.4から0.9.2.7」、対象表は「0.9.2.4以上、0.9.2.8未満」です。説明文と対象表のどちらか一方だけで対象外や修正済みと判断せず、利用中の版を添えて提供元に確認してください。

管理会社・担当者に聞くための確認メモ

自分で操作できない場合に使えます。コピー先で空欄を埋めて担当者へ送ってください。

確認メモ（選択してコピーもできます）

件名：CVE-2026-94263（Advanced Custom Fields: Extended / Advanced Custom Fields: Extended PRO）の影響と対応確認

利用中の製品・サービス：[記入してください]
現在のバージョン・設定：[不明なら「不明」と記入]

次の公式情報にある条件が、私たちの環境に当てはまるか確認をお願いします。
・未認証の訪問者がフロントエンドフォームを送信できること。
・そのフォームの保存設定にショートコード処理を無効化する設定が含まれていないこと。
・公式の対象表：Advanced Custom Fields: Extended。影響ありとして記載：0.9.2.4以上、0.9.2.8未満。
・公式の対象表：Advanced Custom Fields: Extended PRO。影響ありとして記載：0.9.2.4以上、0.9.2.8未満。

対象の場合、適用する修正・回避策、実施予定、停止や再起動の必要性、完了後の確認結果を教えてください。
確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-94263

公式資料で追加確認が必要な点：
・対象版の公式記載に相違があります。Advanced Custom Fields: Extended PROについて、説明文は「0.9.2.4から0.9.2.7」、対象表は「0.9.2.4以上、0.9.2.8未満」です。説明文と対象表のどちらか一方だけで対象外や修正済みと判断せず、利用中の版を添えて提供元に確認してください。

この解説・手順の根拠

説明に対応する原文の抜粋

日本語の説明の根拠になった、取得済みの公式情報です。各抜粋を開くと、出典と元の文章を確認できます。

抜粋 1：raw.githubusercontent.com
The Advanced Custom Fields: Extended and Advanced Custom Fields: Extended PRO WordPress plugins from 0.9.2.4 to 0.9.2.7 do not consistently disable shortcode processing in the confirmation message of their front-end forms, allowing unauthenticated visitors to have arbitrary shortcodes executed server-side when they submit a form whose stored configuration does not carry the relevant setting.
この抜粋の出典を開く
取得元の項目：/containers/cna/descriptions/0/value ／言語：en
抜粋 2：raw.githubusercontent.com
Advanced Custom Fields: Extended 0.9.2.4 - 0.9.2.7 - Unauthenticated Arbitrary Shortcode Execution via Form Success Message
この抜粋の出典を開く
取得元の項目：/containers/cna/title ／言語：未指定
抜粋 3：raw.githubusercontent.com
{"vendor":"Unknown","product":"Advanced Custom Fields: Extended","versions":[{"status":"affected","versionType":"semver","version":"0.9.2.4","lessThan":"0.9.2.8"}],"defaultStatus":"unaffected","collectionURL":"https://wordpress.org/plugins"}
この抜粋の出典を開く
取得元の項目：/containers/cna/affected/0 ／言語：未指定
抜粋 4：raw.githubusercontent.com
{"vendor":"Unknown","product":"Advanced Custom Fields: Extended PRO","versions":[{"status":"affected","versionType":"semver","version":"0.9.2.4","lessThan":"0.9.2.8"}],"defaultStatus":"unaffected"}
この抜粋の出典を開く
取得元の項目：/containers/cna/affected/1 ／言語：未指定

悪用状況の「未確認」は、悪用されていないことを意味しません。対策は製品・バージョン・利用条件によって異なります。適用前に情報源とご自身の環境を確認してください。

情報の出典と更新日時

識別子: CVE-2026-94263
情報源での公開: 2026/10/23 19:44 JST
情報源での更新: 2026/10/23 21:18 JST
当サイトの取得: 2026/10/23 22:22 JST
CVSSスコア: 4.8 / 10.0（v3.1）
説明の作成方法: 公式の公開情報を根拠に自動作成した日本語解説です。引用との整合性を自動検査しています。人による個別確認や利用環境の診断ではありません。

CVSS評価元：WPScan。重要度は技術的な深刻度の目安であり、対応の順序は悪用状況や利用環境も含めて判断してください。

情報源ごとの取得日時

原典の更新日時と当サイトの取得日時は、情報源ごとに異なります。上の更新・取得日時は、それぞれの最新値です。

CVE原典の更新：2026/10/23 19:52 JST取得：2026/10/23 22:22 JST
NVD原典の更新：2026/10/23 21:18 JST取得：2026/10/23 22:17 JST

原文と条件を確認

The Advanced Custom Fields: Extended and Advanced Custom Fields: Extended PRO WordPress plugins from 0.9.2.4 to 0.9.2.7 do not consistently disable shortcode processing in the confirmation message of their front-end forms, allowing unauthenticated visitors to have arbitrary shortcodes executed server-side when they submit a form whose stored configuration does not carry the relevant setting.