販売1位を記録している人気 WordPress テーマである Avada テーマで去る5月に続いて6月にもセキュリティ脆弱性が発見され修正されたというニュースが上がってきましたね。 Avada BuilderプラグインでCVSS 9.1 Criticalクラスのランダムファイル削除の脆弱性（CVE-2026-8713）が見つかりました。世界中の約100万のサイトにインストールされたプラグインであるだけに、影響範囲が広範囲です。
CVSS 9.1は致命的評価に対応し、即時対応が推奨されます。この脆弱性が深刻な理由は、認証がまったく必要ないということです。ログインしていない外部攻撃者は、権限を持たずにサーバー内のファイルをランダムに削除できます。
問題になる Avada Builderのバージョンは3.15.3以前のバージョンで、バージョン3.15.4でパッチが完了しました。 2026年6月25日現在、最新バージョンは3.15.5です。まだバージョンを確認していない場合は、今すぐ確認して最新バージョンにアップデートしてください。
Avada
Avada(Avada)は Themeforestに登録されている多目的 WordPress テーマとして12年連続販売1位を記録しているレジェンドテーマです。 2026年6月25日現在、106万個以上の販売を記録しています。
このテーマは多目的テーマで、会社サイト、ポートフォリオ、仁川、ショッピングモールなど、ほぼすべてのサイト構築に活用できます。
Avadaはすべてのサイトの構築に利用できますが、ブログの運営には過度のテーマかもしれません。ブログの場合、軽くてスピードが速い GeneratePress テーマが多く使われています。このブログも現在 GeneratePress テーマが適用されています。 GPテーマはスピードが非常に速いだけでなく、カスタムして使用するのにも良いようです。
Avada テーマの利点
- 自由度の高いカスタマイジング： Avada Builderは独自のページビルダーと豊富なテーマオプションを提供し、コーディングの知識がなくても必要なほぼすべてのデザインとレイアウトを実装できるようにします。
- 豊富なプリビルトウェブサイト： 専門家が事前に作成した100を超えるデモテンプレートをワンクリックでロードして、すばやくサイト構築を開始できます。
- プレミアムプラグイン無料含まれて: Slider Revolution、LayerSliderなど人気の有料プラグインがテーマに基本的にバンドルされており、初期構築コストを節約できます。 （Slider Revolutionはコードキャニオンマーケットから脱退し、独自のサイトで販売されています。 Avada など有料のテーマに含まれている Slider Revolutionの アップデートは2028年3月まで提供と言われています。）
- 安定したアップデートとカスタマーサポート： 販売1位テーマらしく WordPress コアアップデートに合わせて足早くパッチされ、公式ドキュメントや膨大なユーザーコミュニティ、カスタマーサポートシステムがしっかりとします。ただし、基本サポートは6ヶ月であり、後でサポートを受けるには高価なサポートライセンスを購入する必要があります。
Avada テーマの欠点
- 重いテーマとスピード低下のリスク： 提供する機能やオプションが多すぎるのでテーマが重い方です。キャッシュプラグインの設定やサーバー最適化を並行しないと、ロード速度が大幅に遅くなる恐れがあります。
- 高い初心者エントリーバリア（学習曲線）： Avada テーマは多くのテーマオプションと機能を提供するため、初心者でも簡単にクオリティの高いサイトを構築できます。しかし、膨大なテーマオプションはむしろ欠点としても機能する可能性があります。細かい設定ができるだけメニューとオプションが複雑な方であり、 WordPress 入門者であれば、機能がどこにあるかを探し、使い方を習得するのに時間がかかることがあります。
- 強いテーマ依存関係（ロックイン効果）： Avada 独自のビルダーでページを作成すると、独自のショートコードが残ります。今後 Avadaから別のテーマに変更する場合は、サイトを再作成する必要があります。
- 1ライセンス1サイト制限： Envato Marketのライセンスポリシーに基づいてテーマを1つ購入すると、1つのウェブサイト（ドメイン）にのみ適用でき、複数のサイトを運営する場合は費用負担が発生します。
Avada Builderプラグインランダムファイル削除の脆弱性
今回発見されたセキュリティ脆弱性の鍵は、ファイル削除処理関数（maybe_delete_files）にあります。
Avada BuilderのForm Builder機能は、ユーザーが送信したデータをDBに保存することができます。このルーチンの実行時にファイル削除処理関数が保存されたファイルを削除する機能をします。
問題は、この関数がファイルパスを正しく検証しないことです。アップロードURLをローカルパスに単純文字列置換する方法で処理すると、ディレクトリ操作(path traversal)攻撃にそのまま公開されます。
攻撃フローの段階的なクリーンアップ
ステップ1 - ペイロードの挿入
攻撃者が公開された Avada フォームフィールドにディレクトリ操作ペイロードを植えて送信します。
アップロードフォルダのURLの後に親ディレクトリの移動シーケンスを付けて、wp-config.phpパスを指すように値を操作します。
ステップ2 - 削除ルーチンを強制する
お問い合わせフォーム 個人情報の有効期限間隔フィールドと有効期限処理方式フィールドを操作して即時削除ルーチンを強制的に実行させます。
ステップ3 - 自動ファイルを削除する
お問い合わせフォームDBプライバシークラスのshutdown hookが自動的に実行され、wp-config.phpが削除されます。
ステップ4 - 管理者の介入は不要
これらすべてのプロセスで管理者の介入はまったくなく行われます。
この攻撃が成立するには、1つの条件を備えているだけです。サイトに公開 Avada フォームがあり、そのフォームが送信内容をDBに保存するように設定されていれば十分です。
ログインや個別の権限はまったく必要ありません。サイトにアクセスできる人なら誰でもこの脆弱性を利用して攻撃を試みるリスクが存在します。
wp-config.phpが削除されると何が起こりますか？
wp-config.phpは WordPress 構成設定に関連するコアファイルです。 DB接続情報、セキュリティキー、テーブルプレフィックスなどサイト運営に不可欠な情報が含まれています。
このファイルが削除された場合 WordPressは初期インストール状態に切り替わります。インストールウィザード画面が表示され、誰でも新しいDB接続情報を入力できる状態になります。攻撃者はこのギャップを狙って自分が制御するDBを接続し、悪意のあるプラグインやテーマをインストールしてサーバー上で任意のPHPコードを実行する可能性があります。
対応方法
Avadaのような人気テーマ エレメン などの人気プラグインでセキュリティの脆弱性が発見され、修正されると波及効果が大きくなります。セキュリティの脆弱性がパッチされていないサイトをターゲットにした攻撃が大幅に増加する可能性があります。
Avada テーマ開発チームは脆弱性に関する報告を受け、20日でセキュリティ問題を解決したアップデートを発表しました。現在、セキュリティの脆弱性に関する詳細情報が公開されているため、悪用した攻撃が増加する可能性が高くなります。 Avada テーマを使用している場合は、すぐに最新バージョンにアップデートしてください。
セキュリティのために、次の措置を講じることが安全です。
- WordPress コア、テーマ、プラグインをすべて最新バージョンに更新し、最新の状態を維持します。
- 未使用のプラグインとテーマはすべて削除します。
- 長時間更新されず放置されているプラグインは削除します。
- Wordfenceなどのセキュリティプラグインをインストールします。
- 定期的にバックアップし、バックアップをPCやクラウドストレージなどに保存します。
2026年6月25日現在 Avada テーマのバージョンは Avada Builder（旧名「Fusion Builder」）は、上記のように3.15.5です。
よくある質問 — Avada Builderの脆弱性のQ&A
Q1.現在稼働中 WordPress サイトが脆弱であるかどうかを確認するには？
WordPress 管理パネル→プラグイン→インストールされているプラグインから Avada Builderのバージョンを確認してください。 3.15.3以下の場合は脆弱な状態であり、3.15.4以上の場合はパッチが適用された状態です。
できれば WordPress コア（現在の7.0）とテーマ、プラグインの両方を最新バージョンに更新し、セキュリティの脆弱性が発見されたがパッチのないテーマやプラグインがある場合は削除することが望ましいです。
Q2 Avada フォームを使用しなくても影響を受けますか？
攻撃条件はDB保存が有効になっています Avada フォームが存在する必要があるため、問い合わせフォーム機能をまったく使用しないと攻撃条件が満たされず、実質的な危険性は低くなります。ただし、プラグインのバージョン自体が脆弱であるため、更新することをお勧めします。
Q3. Wordfenceの無料版でもこの脆弱性を防ぐことができますか？
はい、可能です。 Wordfenceのディレクトリ操作の検出ファイアウォールルールは、無料プランにもデフォルトで適用されます。ただし、ファイアウォールは補助手段であり、基本的な解決策は3.15.4以降のバージョンにアップデートすることです。
Q4.すでに攻撃されているかどうかを確認するには？
wp-config.phpファイルが存在するかどうかを最初に確認してください。ファイルがない場合は、すぐにバックアップから回復する必要があります。 Wordfenceのファイル整合性チェック機能を使用すると、変更されたファイルを検出できます。
一部のWebホスティングでは、サイトのロールバック（復元）機能を提供しています。
- Cafe24を使用している場合は、過去7日以内にサイトをロールバックできます。
- クラウドウェイズの場合、バックアップ設定に応じて4週間以内にサイトを復元できます。
- ケミクラウドホスティングプランに応じて、最大4週間以内の期間にロールバックできます。
サイトをロールバックすると、サイトが回復した時点以降に更新されたコンテンツはすべて消えます。
コメントを残す