情報取得日: 2026/07/17／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-14956 |
|---|---|
| 製品 | Bricksforge / Bricksforge (WordPress プラグイン) 3.1.8.6 以前 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-269 Improper Privilege Management |
| 登録／公開日 | 2026/07/17 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-14956 |
WordPress 向けページビルダー拡張 Bricksforge の Pro Forms には、ユーザー登録アクションの fieldIds パラメータを検証していない不備がある。攻撃者が送信した任意のフィールドIDが「信頼されたフォームフィールド」のホワイトリストにそのまま追加されてしまうため、公開されている登録フォームに細工したリクエストを送るだけで、未認証の攻撃者が管理者権限のアカウントを新規作成できる。成立条件は、サイトに User Registration アクションを設定した公開 Pro Forms 要素が存在すること。認証も利用者操作も不要で、成立すればサイトの完全掌握につながるため CVSS は 9.8 と評価されている。ベンダーは責任ある開示を受けて 2026-07-14 公開の 3.1.8.7 で修正済み。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / Lightsail / ECS 上で WordPress を運用している場合は、アプリ側で Bricksforge を 3.1.8.7 以降へ更新する。AWS のマネージドサービス側に修正すべき点は無い。
AWS WAF を使っている場合も、正規の登録フォームへの正常なリクエスト形式のため遮断は期待できない。プラグイン更新が必須。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine / Cloud Run 等の上で動く WordPress のプラグインを 3.1.8.7 以降へ更新する。GCP のマネージドサービス側の対応は不要。
コンテナで運用している場合はイメージを再ビルドして再デプロイする。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
App Service / VM 上の WordPress のプラグインを 3.1.8.7 以降へ更新する。Azure のマネージドサービス側の対応は不要。
Azure Marketplace の WordPress イメージを使っている場合もプラグイン更新は利用者責任。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリのパッケージではなく WordPress の管理画面または WP-CLI（`wp plugin update bricksforge`）で 3.1.8.7 以降へ更新する。更新後に `wp user list --role=administrator` で管理者アカウントを棚卸しする。
OS 側の修正は無い。プラグイン層の問題。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
Bricksforge を 3.1.8.7 以降へ更新する。これが唯一の根本対処である。更新までの緊急回避としては、公開状態の Pro Forms のうち User Registration アクションを持つものを一時的に非公開にするか、当該アクションを無効化する。すでに攻撃を受けた可能性を考えるなら、更新後に管理者権限（administrator ロール）のユーザー一覧を確認し、身に覚えのないアカウントが増えていないか、登録日時が不自然でないかを点検する。攻撃は正規の登録フォーム経由なので WAF のシグネチャでは弾きにくく、バージョン更新とアカウント棚卸しの両方が要る。
Critical（CVSS 9.8）に分類されるBricksforge Bricksforge (WordPress プラグイン) 3.1.8.6 以前の脆弱性です。WordPress 向けページビルダー拡張 Bricksforge の Pro Forms には、ユーザー登録アクションの fieldIds パラメータを検証していない不備がある。攻撃者が送信した任意のフィールドIDが「信頼されたフォームフィールド」のホワイトリストにそのまま追加されてしまうため、公開されている登録フォームに細工したリクエストを送るだけで、未認証の攻撃者が管理者権限のアカウントを新規作成できる。成立条件は、サイトに User Registration アクションを設定した公開 Pro Forms 要素が存在すること。認証も利用者操作も不要で、成立すればサイトの完全掌握につながるため CVSS は 9.8 と評価されている。ベンダーは責任ある開示を受けて 2026-07-14 公開の 3.1.8.7 で修正済み。
Bricksforge を 3.1.8.7 以降へ更新する。これが唯一の根本対処である。更新までの緊急回避としては、公開状態の Pro Forms のうち User Registration アクションを持つものを一時的に非公開にするか、当該アクションを無効化する。すでに攻撃を受けた可能性を考えるなら、更新後に管理者権限（administrator ロール）のユーザー一覧を確認し、身に覚えのないアカウントが増えていないか、登録日時が不自然でないかを点検する。攻撃は正規の登録フォーム経由なので WAF のシグネチャでは弾きにくく、バージョン更新とアカウント棚卸しの両方が要る。
Bricksforge Bricksforge (WordPress プラグイン) 3.1.8.6 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14956）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。