この記事は2件を区別して扱います。Everest Forms Pro CVE-2026-3300はComplex Calculationを使うフォームで未認証のPHPコード実行を許すCVSS v3.1 9.8 CRITICALの問題です。PHP CVE-2025-14179はPDO FirebirdでPDO::quote()した攻撃者入力をSQLへ埋め込む場合のNULバイト処理不備で、PHP CNA評価はCVSS v4.0 7.4 HIGHです。
脆弱性の概要と影響範囲
### WordPress Everest Forms ProプラグインにおけるRCE脆弱性（CVE-2026-3300）
Everest Forms Proは1.9.12以下が影響を受け、1.9.13以上へ更新します。Complex Calculationを利用するフォームが攻撃経路です。PHPは8.2.31未満、8.3.31未満、8.4.21未満、8.5.6未満の各PDO Firebirdが影響を受けます。
### PHP PDO FirebirdドライバーにおけるSQLインジェクション脆弱性（CVE-2025-14179）
PHPのPDO Firebirdドライバー（PHPバージョン 8.2.* (8.2.31未満), 8.3.* (8.3.31未満), 8.4.* (8.4.21未満), 8.5.* (8.5.6未満)）には、SQLインジェクション脆弱性（CVE-2025-14179）が報告されています。PDO FirebirdドライバーがSQLクエリを準備する際にNULLバイトを不適切に処理するため、攻撃者は細工されたNULLバイトを含む文字列を注入することで、意図しないSQLコマンドを実行できる可能性があります。この脆弱性は、データベースに接続するPHPアプリケーションにとって重大な脅威となります。
具体的な影響・攻撃シナリオ
Everest Forms Proプラグインの脆弱性（CVE-2026-3300）が悪用された場合、認証されていない攻撃者は、プラグインが有効化され「Complex Calculation」機能が使用されているフォームを通じて、悪意のあるPHPコードをサーバーにアップロードし、実行できます。これにより、ウェブサイトの完全な乗っ取り、管理者アカウントの作成、ウェブシェル（Web Shell）の設置、機密データの窃取、さらにはサーバー全体の侵害につながる可能性があります。
PHP PDO Firebirdドライバーの脆弱性（CVE-2025-14179）が悪用された場合、攻撃者はデータベースに送信されるSQLクエリを改ざんし、データベースから機密情報を不正に取得したり、データの改ざんや削除を行ったりする可能性があります。これにより、システム内のデータ整合性が損なわれ、情報漏洩やサービス停止などの被害が発生する恐れがあります。
エンジニアが今すぐ取るべき対策
Everest Forms Proを1.9.13以上へ更新し、更新までComplex Calculationを使うフォームを停止します。PHP/PDO Firebirdは8.2.31、8.3.31、8.4.21、8.5.6またはそれ以降の該当系列へ更新します。CVE-2025-14179はPDO Firebird自体の実装問題なので、アプリケーション側の一般的なprepared statement例だけでは修正できません。
📦