Contact Form 7に脆弱性。うちの問い合わせフォームは対象？確認方法と更新手順

今回は、ご自身のサイトが対象かを調べる方法と、更新後に確認しておきたいポイントをご紹介します。

まず、管理画面で「Contact Form 7」を探してください

WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。一覧から「Contact Form 7」を探し、その欄に表示されている「バージョン」の数字を見てください。

「6.2」から「6.2.3」までの場合

10月に公表された、ファイル添付に関する脆弱性の対象です。開発元によると、ファイル添付欄があり、なおかつサーバーがフォルダー内のファイル一覧を外部に公開する設定の場合、ログインしていない第三者が、本来は受け付けないファイルをアップロードし、サーバーに残せる可能性があります。サーバーの設定が分からなくても、まずはバージョンの確認から進められます。Contact Form 7 [日本語]

「6.2.4」まで更新した覚えがある場合

10月のファイル添付の問題は、6.2.4で修正されています。ただし、11月10日公開の6.2.5では、フォームやメールの特定の設定を通じて、非公開の記事やユーザーに関する情報が漏れる可能性も修正されました。ファイル添付欄を使っていない方も、更新状況をご確認ください。Contact Form 7 [日本語]

自分で更新するときの手順

① バックアップを確認する

サーバーの管理画面やバックアップ機能で、サイトのファイルとデータベースの両方について、更新前の状態に戻せることを確認します。

② WordPressとPHPのバージョンを確認する

11月10日公開のContact Form 7 6.2.5には、WordPress 7.1以上が必要です。また、Contact Form 7の6.2系を動かすには、PHP 8.3以上が必要です。管理画面の「ツール」→「サイトヘルス」→「情報」で、WordPressとサーバーの情報を確認できます。古いサイトで条件を満たしていない場合は、テーマやほかのプラグインへの影響も確認してから進めましょう。Contact Form 7

③ Contact Form 7を更新する

バックアップと動作条件を確認できたら、「インストール済みプラグイン」に戻ります。Contact Form 7の欄に更新案内が出ていれば、「今すぐ更新」を押し、完了後にバージョンを確認してください。この記事の執筆時点（2026年11月10日）の公開版は6.2.5です。

更新後は、お客様と同じ画面から1件送ってみてください

私がフォームの動作を確認するときは、送信ボタンを押したあと、実際に受け取ったメールまで確認します。たとえば見積もりフォームなら、個人情報を含まないテスト用の写真を1枚添えて送ると、普段の使い方に沿って点検できます。

・フォームに送信完了のメッセージが表示されたか

・担当者の受信箱に、入力した内容が届いたか

・自動返信を設定している場合、送信者にも控えが届いたか

・添付したファイルが想定どおりの形式で届き、開けるか

特に、履歴書をWord形式で受け取っているサイトや、見積もり資料をExcel形式で受け取っているサイトでは、普段案内している形式でお試しください。10月の修正では添付ファイルの扱いも変わり、安全な形式として登録されていないファイルは、拡張子が置き換わる場合があります。

更新ボタンが出ない、業務で使っていて自分で触るのが不安な方へ

「制作会社に作ってもらってから、WordPressもPHPも更新していない」「予約や見積もりを毎日受けているので、フォームが止まると困る」という方は、ココナラからご相談ください。

最初のメッセージは、「Contact Form 7の更新について相談したいです」の一言で大丈夫です。バージョンが分かる方は、その数字と、写真や書類を受け付けるフォームかどうかを添えていただけると、状況を把握しやすくなります。

現在の環境を確認し、必要な作業と費用を事前にご案内します。内容にご了承いただいたうえで、更新から送信・受信の確認まで対応いたします。