WordPressの人気ページビルダープラグイン「Elementor Pro」に、深刻な脆弱性が確認されています。
この脆弱性はすでに実際の攻撃に悪用されており、Elementor Proを使用している事業者は早急な確認が必要です。
特に注意していただきたいのが、Webサイトの制作後にElementor Proのライセンスが切れ、そのまま更新できなくなっているケースです。
Elementor Pro 4.2.1以下に深刻な脆弱性
WordPressのセキュリティ企業Wordfenceは、2026年9月2日、Elementor Proの脆弱性を狙った攻撃が活発に行われていると発表しました。
対象となるのは、Elementor Pro 4.2.1以前のバージョンです。修正版は4.2.2ですが、現在は利用可能な最新バージョンまで更新してください。
この脆弱性が悪用されると、第三者に不正なファイルをアップロードされ、最悪の場合はWebサイトを乗っ取られる可能性があります。深刻度を示すCVSSスコアは、最高値に近い「9.8」です。
Wordfenceによると、脆弱性が公表された2026年8月19日当日から攻撃が始まり、すでに19万件を超える攻撃をブロックしたと報告されています。
参考：Attackers Actively Exploiting Critical Vulnerability in Elementor Pro Plugin（Wordfence）
すべてのElementor Proサイトが同じ条件で攻撃されるわけではありません
今回の脆弱性が成立するには、Elementor Proのフォームウィジェットを使用し、その中に必須項目ではないファイルアップロード欄が設置されていることなど、一定の条件があります。
ただし、該当するフォームがないからといって、古いバージョンのまま放置してよいわけではありません。
今後、別の脆弱性が見つかる可能性もあります。Elementor Proを使用し続ける場合は、継続的にアップデートできる状態を維持することが重要です。
ライセンスが切れていても、Webサイトは表示され続けます
Elementor Proは、ライセンスの有効期限が切れても、すぐにWebサイトが表示されなくなるわけではありません。
そのため、ライセンス切れに気づかないまま、古いバージョンが長期間残っているWebサイトもあります。
しかし、ライセンスが切れた状態では、管理画面から最新バージョンへ更新できなくなります。見た目に問題がなくても、セキュリティ上は危険な状態になっている可能性があります。
アップデートするだけでは不十分な場合があります
脆弱性が公表されてからすでに攻撃が確認されているため、古いバージョンを使用していた場合は、最新版へ更新するだけでなく、次のような確認も必要です。
- 不審なファイルが追加されていないか
- 不審な管理者ユーザーが登録されていないか
- WordPressやサーバーのファイルが改ざんされていないか
- 不審なログインやアクセスが発生していないか
- Webサイトの表示やフォーム送信に問題がないか
アップデートは、これからの攻撃を防ぐための対応です。すでに侵入されている場合、アップデートだけで不正なファイルが消えるわけではありません。
Elementor Proのライセンス切れでお困りの方へ
株式会社テックブリッジでは、Elementor Proのライセンスが切れて更新できないWebサイトについて、ライセンスの手配、プラグインのアップデート、表示確認、セキュリティチェックまで対応しています。
「制作会社と連絡が取れない」「誰がライセンスを契約しているのか分からない」「更新すると表示が崩れそうで不安」といった場合も、まずは現在の状況を確認いたします。
古いElementor Proをそのまま放置せず、お早めにご相談ください。
投稿者プロフィール
