CVE-2025-13486：Advanced Custom Fields Extended の脆弱性 ― アップデートで解消できる問題です

WordPress プラグイン Advanced Custom Fields: Extended（ACF Extended） にて、CVE-2025-13486 として脆弱性が報告されました。

今回の脆弱性は確かに重要な内容ですが、すでに修正版が公開されており、プラグインをアップデートするだけで確実に解消できる問題です。

この記事では、脆弱性の内容を過度に煽らず、管理者が知っておくべきポイントを整理して紹介します。

Advanced Custom Fields Extended（ACF Extended）の概要

Advanced Custom Fields Extended（ACF Extended）は、カスタムフィールド管理プラグイン「Advanced Custom Fields（ACF）」をより使いやすく、より高機能にするための拡張プラグインです。

ACF の操作性をそのままに、サイト構築に役立つ追加機能や管理画面の改善が多数含まれています。

主な特徴としては、フィールド設定の強化、オプションページ作成、柔軟なフォーム機能（ACFE Form）、UI の改善などが挙げられます。これにより、コードを書く量を減らしつつ、管理画面や投稿画面をより効率的にカスタマイズできます。

無料プラグインながら機能が充実しているため、ACF を中心にサイト構築を行う開発者や、日々の運用をスムーズにしたいユーザーに広く利用されています。

脆弱性の概要

今回報告された CVE-2025-13486 は、ACF Extended の バージョン 0.9.0.5〜0.9.1.1 に存在していた脆弱性で、分類としては リモートコード実行（RCE: Remote Code Execution） に該当します。

何が問題だったのか？

ACF Extended には「フォーム機能（acfe_form）」があり、ユーザーが送信したデータを処理する仕組みが組み込まれています。
この処理の中にある prepare_form() 関数で、外部から渡されるパラメータを十分に検証せずに PHP の call_user_func_array() に直接渡してしまう設計になっていました。

つまり、

• 「どの関数を」
• 「どんな引数で」

呼び出すかを外部入力に基づいて決定していたため、検証がない状態では 攻撃者が任意の PHP 関数を実行できてしまう可能性が生まれていました。

なぜ問題なのか？

call_user_func_array() は非常に強力な関数で、WordPress 内部の関数はもちろん、PHP に標準搭載されている操作（ファイル書き込み、ユーザー作成、外部通信など）も呼び出すことができます。

そのため、外部からの入力を安全に扱わない場合、以下のような動作が可能になります

• 新しい管理者ユーザーの作成
• サーバー上への不正ファイル設置（バックドアなど）
• 設定ファイルの読み取り・書き換え
• 不要なプラグインの有効化・無効化

WordPress の仕組み上、「認証が必要な操作」が多い一方で、今回の脆弱性では ログイン不要（認証なし）で実行できる可能性があったことが特に問題視されています。

脆弱性に関する技術情報まとめ

• 脆弱性識別子: CVE-2025-13486
• 脆弱性分類（CWE）: CWE-94 Improper Control of Generation of Code (Code Injection)
• CVSSスコア: 9.8
• CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Attack Vector (AV): Network
  • Attack Complexity (AC): Low
  • Privileges Required (PR): None
  • User Interaction (UI): None
  • Scope (S): Unchanged
  • Confidentiality Impact (C): High
  • Integrity Impact (I): High
  • Availability Impact (A): High
• 影響を受けるバージョン: 0.9.0.5〜0.9.1.1
• 修正版バージョン: 0.9.1.2 以降

参照： https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/acf-extended/advanced-custom-fields-extended-0905-0911-unauthenticated-remote-code-execution-in-prepare-form

想定されるリスク

脆弱性が残ったままのバージョンを使用している場合、以下のような具体的なリスクが想定されます。

1. 不正なユーザーアカウントの作成

任意の関数実行が可能なため、WordPress 標準関数を使って管理者アカウントを追加される可能性があります。
これが成立すると、管理画面が第三者に完全に乗っ取られる危険があります。

2. 不正ファイル（バックドア）の設置

PHP 関数を呼び出せるため、ファイル操作が可能になります。
攻撃者は、テーマフォルダなどに不正ファイルをアップロードし、後から何度でもアクセスできる状態を維持しようとする場合があります。

3. サイト改ざん・データ抽出

不正アクセスの結果、投稿内容や設定を変更される、データベースから情報を盗み出されるなどのリスクがあります。

4. サーバー資源の不正利用

マルウェア配置や、外部攻撃の踏み台にされるといった二次被害につながる可能性もあります。

とはいえ「即座に被害が出る」わけではない

ここまで読むと不安に感じるかもしれませんが、

• 実際の攻撃には特定の条件が必要
• 問題の範囲は該当バージョンに限られる
• すでに修正版が提供されている

という点から、適切にアップデートしていれば過度な心配は不要です。

影響のあるバージョンか確認しよう

WordPress 管理画面の
「プラグイン > インストール済みプラグイン」
から ACF Extended を確認し、

• 0.9.1.2 以降 → 安全（修正版）
• 0.9.0.5〜0.9.1.1 → アップデート必須

となります。

対策：アップデートするだけで解決します

今回の脆弱性への対応は非常にシンプルです。

➡ ACF Extended を最新バージョンにアップデートすること。

開発者が脆弱性を認識し、すでに修正済みのバージョンが公開されています。
追加作業や特別な対策は必要なく、アップデートで機能的にも安全性にも問題なく利用できます。

WordPress の健全なセキュリティフローの一部

WordPress やプラグインは広く使われているため、脆弱性が発見されること自体は珍しいことではありません。

むしろ今回のように、

1. 問題が早期に発見される
2. 公開される
3. 修正版が迅速に配布される
4. 管理者がアップデートする

というフローこそ、WordPress が長年安全に利用され続けている理由です。

まとめ：冷静に、確実にアップデートすれば大丈夫

CVE-2025-13486 は確かに重要な脆弱性ですが、すでに修正済みであり、アップデートで完全に解決できます。

過度に心配したり騒ぐ必要はありません。
普段からプラグインを定期的に更新することで、WordPress サイトは十分に安全に運用できます。

これからも、健全なアップデートフローを続けつつ、安心して WordPress を使いましょう。