【緊急】WordPressプラグイン「Everest Forms Pro」とPHP PDO Firebirdドライバーに深刻な脆弱性、攻撃を今すぐ対策！

過去24時間以内に、Web開発に広く利用されているWordPressプラグインとPHPのコアコンポーネントにおいて、重大なセキュリティ脆弱性が発表され、一部はすでに活発なサイバー攻撃に悪用されています。特に、WordPressの「Everest Forms Pro」プラグインでは、認証されていない攻撃者によるリモートコード実行（RCE）を許す致命的な脆弱性（CVE-2026-3300）が確認され、緊急の対応が必要です。また、PHPのPDO FirebirdドライバーにおけるSQLインジェクション脆弱性（CVE-2025-14179）も報告されており、PHPを使用するシステム全体に影響を及ぼす可能性があります。これらの脅威からシステムを保護するため、エンジニアは直ちに推奨される緩和策を講じる必要があります。

脆弱性の概要と影響範囲

### WordPress Everest Forms ProプラグインにおけるRCE脆弱性（CVE-2026-3300）

WordPressの多機能フォームビルダープラグイン「Everest Forms Pro」（バージョン1.9.12以前）には、リモートコード実行（RCE）を可能にする深刻な脆弱性（CVE-2026-3300）が存在します。この脆弱性は、Calculation Addonの`process_filter()`関数が、ユーザーが送信したフォームフィールドの値を適切にエスケープすることなくPHPコード文字列に連結し、`eval()`関数で実行してしまうことに起因します。`sanitize_text_field()`関数が適用されても、単一引用符やその他のPHPコードコンテキスト文字はエスケープされないため、認証されていない攻撃者が任意のPHPコードを注入・実行することが可能です。Wordfenceの報告によると、この脆弱性を標的とした攻撃が過去24時間以内に16回確認されています。

### PHP PDO FirebirdドライバーにおけるSQLインジェクション脆弱性（CVE-2025-14179）

PHPのPDO Firebirdドライバー（PHPバージョン 8.2.* (8.2.31未満), 8.3.* (8.3.31未満), 8.4.* (8.4.21未満), 8.5.* (8.5.6未満)）には、SQLインジェクション脆弱性（CVE-2025-14179）が報告されています。PDO FirebirdドライバーがSQLクエリを準備する際にNULLバイトを不適切に処理するため、攻撃者は細工されたNULLバイトを含む文字列を注入することで、意図しないSQLコマンドを実行できる可能性があります。この脆弱性は、データベースに接続するPHPアプリケーションにとって重大な脅威となります。

具体的な影響・攻撃シナリオ

Everest Forms Proプラグインの脆弱性（CVE-2026-3300）が悪用された場合、認証されていない攻撃者は、プラグインが有効化され「Complex Calculation」機能が使用されているフォームを通じて、悪意のあるPHPコードをサーバーにアップロードし、実行できます。これにより、ウェブサイトの完全な乗っ取り、管理者アカウントの作成、ウェブシェル（Web Shell）の設置、機密データの窃取、さらにはサーバー全体の侵害につながる可能性があります。

PHP PDO Firebirdドライバーの脆弱性（CVE-2025-14179）が悪用された場合、攻撃者はデータベースに送信されるSQLクエリを改ざんし、データベースから機密情報を不正に取得したり、データの改ざんや削除を行ったりする可能性があります。これにより、システム内のデータ整合性が損なわれ、情報漏洩やサービス停止などの被害が発生する恐れがあります。

エンジニアが今すぐ取るべき対策

### 1. WordPressプラグインの緊急アップデート

「Everest Forms Pro」プラグインを使用しているWordPressサイト管理者は、**直ちにバージョン1.9.13以降にアップデート**してください。アップデートが困難な場合は、プラグインを一時的に無効化することを強く推奨します。

### 2. PHPバージョンのアップデート

PDO Firebirdドライバーを使用しているPHP環境では、**PHPを以下のバージョンにアップデート**してください。 GovCERT.HKもPHPの複数の脆弱性に対するセキュリティアップデートを推奨しています。

* PHP 8.2: 8.2.31以降

* PHP 8.3: 8.3.31以降

* PHP 8.4: 8.4.21以降

* PHP 8.5: 8.5.6以降

### 3. セキュアコーディングの実践（PHP）

SQLインジェクションのような脆弱性を防ぐため、PHPでデータベースを操作する際は、常にプリペアドステートメントを使用し、ユーザー入力を適切にサニタイズおよびエスケープする習慣を徹底してください。以下は、PHPでPDOとプリペアドステートメントを使用してSQLインジェクションを防ぐ基本的な例です。

<?php
$dsn = 'mysql:host=localhost;dbname=testdb;charset=utf8mb4';
$username = 'dbuser';
$password = 'dbpass';

try {
    $pdo = new PDO($dsn, $username, $password, [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_EMULATE_PREPARES => false,
    ]);

    // ユーザーからの入力 (例: $_GET['id'])
    $userId = $_GET['id'] ?? null;

    if ($userId !== null) {
        // プリペアドステートメントを使用
        $stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
        $stmt->bindParam(':id', $userId, PDO::PARAM_INT);
        $stmt->execute();
        $user = $stmt->fetch(PDO::FETCH_ASSOC);

        if ($user) {
            echo 'ユーザー名: ' . htmlspecialchars($user['name']);
        } else {
            echo 'ユーザーが見つかりません。';
        }
    } else {
        echo 'IDが指定されていません。';
    }

} catch (PDOException $e) {
    error_log('Database Error: ' . $e->getMessage());
    echo 'データベースエラーが発生しました。';
}
?>

このコードは、ユーザーIDを直接SQLクエリに埋め込むのではなく、プレースホルダー（`:id`）と`bindParam`を使用して安全に処理します。これにより、悪意のあるSQLコードが注入されるのを防ぎます。

### 4. WAF (Web Application Firewall) の導入

これらの脆弱性に対する追加の保護層として、WAFの導入を検討してください。WAFは、悪意のあるHTTPリクエストを検知し、ブロックすることで、未パッチのシステムへの攻撃を緩和するのに役立ちます。

参考ソース・公式パッチ情報