「Cloud Storage Manager」に認証なしの脆弱性　最新の1.2.9へ

米国立標準技術研究所（NIST）の脆弱性データベースNVDに、11月14日22時17分（日本時間）に新しい脆弱性「CVE-2026-120522」が載った。対象はWordPressのプラグイン「Cloud Storage Manager for Fluent Forms」だ。番号を振ったのはセキュリティ企業の米Wordfenceで、認証なしでサーバーに任意のファイルを書かれ、コードを動かされ得る。管理画面のプラグインの一覧でバージョンを見て、1.2.0以前なら当たる。最新の1.2.9に上げ、Google Driveの接続を確かめ直す。

1.2.0以前の全部が当たる

NVDの記載では、対象と深刻度は次のとおりだ。

• 対象: WordPressのプラグイン「Cloud Storage Manager for Fluent Forms – Google Drive, Dropbox, OneDrive, S3 Uploads」
• 当たるバージョン: 1.2.0以前の全部
• 直ったバージョン: NVDの記載に無い（WordPress.orgの最新は1.2.9）
• CVE番号: CVE-2026-120522
• 深刻度: CVSS 3.1で9.8（Wordfenceの評価。NVDは独自の評価をしていない）
• 弱点の種類: CWE-22（パスの検証が足りず、決めたフォルダの外に届く）

Wordfenceの説明を引くNVDの記載によると、クラウドの接続の設定を保存する処理と、ファイルを取り込む処理に、権限の確認が無かった。Google Driveから取り込む処理は、ファイル名に含まれるパスを確かめていなかった。認証の無い攻撃者が自分のGoogle Driveの資格情報を保存させ、決めたフォルダの外にファイルを書かせ得る。PHPのファイルをWebから届く場所に置かれると、サーバーでコードを動かされる。

このプラグインは、フォーム作成プラグイン「Fluent Forms」に添付されたファイルを、Google DriveやDropboxなどに保存する。WordPress.orgの配布ページでは、作者はFluentWizで、有効なインストールは400件だ。

一覧のバージョンで見分ける

管理画面の「プラグイン」の一覧で、Cloud Storage Manager for Fluent Formsのバージョンを見て、1.2.0以前なら当たる。WordPress.orgの配布物の1.2.0、1.2.5、1.2.6、1.2.9を確かめた。どれも、プラグインが名乗るバージョンと配布の番号が一致しており、一覧の表示で見分けてよい。1.2.0の次に配布されたのは1.2.5で、1.2.1から1.2.4は配布されていない。

サーバーのファイルで確かめる時は、wp-content/pluginsの下のcloud-storage-managerのフォルダにあるreadme.txtを開く。Stable tagの行が、最新のバージョンなら1.2.9になっている。

最新の1.2.9に上げる

配布物を比べると、修正は2回に分けて入った。8月20日に出た1.2.5は、プラグインの全部のREST APIの経路に、サイトの管理者の権限の確認を足した。変更履歴にも「APIのセキュリティの強化」とある。9月11日に出た1.2.6は、Google Driveから取り込むファイルを一時フォルダに置き、ファイル名から英数字と一部の記号以外を置き換えるようにした。

1.2.5だけでも、認証の無い攻撃者は処理を呼べない。ただし、ファイル名の扱いが直ったのは1.2.6からだ。配布ページにある、11月10日に出た最新の1.2.9に上げる。1.2.9はWordPress 6.2以上とPHP 7.4以上を求めるので、古い環境では先にそちらを上げる。管理画面の「更新」から上げられ、上げた後は一覧のバージョンが1.2.9に変わったことを確かめる。NVDの記載に、すぐ上げられない時の回避策は無い。

悪用は確認できていない

CVE-2026-120522は、11月14日の時点で、悪用を確認した脆弱性の一覧（KEV）に載っていない。KEVは米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が出す一覧で、NVDの記載にも悪用の確認は無い。ただし、攻撃にはログインもサイトの利用者の操作も要らない。

当たるバージョンを動かしていたサイトは、上げるだけで済ませない。まず、プラグインの設定画面でGoogle Driveの接続を切り、自社のアカウントでつなぎ直す。攻撃者の資格情報を保存されていても、これで自社のアカウントに戻る。次に、Webから届くフォルダに見覚えのないPHPのファイルが無いかを見る。見つかった時は、消す前にファイルの日時とアクセスのログを残し、いつ置かれたかを追えるようにしておく。

SAGUSでは当たらなかった

SAGUSが運営するサイトと開発の環境を確かめたところ、WordPressもこのプラグインも使っていなかった。そのため、今回の脆弱性の影響を受けるものは無かった。

編集部の見方

編集部は、この件の要点は、修正の配布と脆弱性の公表の間に3か月近い間があったことにあると見る。認証の無い呼び出しを止めた1.2.5は8月20日に出ており、NVDに載ったのは11月14日だ。その間、変更履歴はセキュリティの強化を一般的な言葉で書くだけで、脆弱性の中身と当たるバージョンを示していなかった。公表を待ってから上げる運用では、修正が出てからの3か月を当たるバージョンのまま過ごすことになる。小さなプラグインほど、変更履歴に「セキュリティ」の語が出た更新を、公表を待たずに入れる工程を持ちたい。