何が起きたか
CVE-2026-110886は、Conversational Forms for ChatBotプラグイン（1.5.1まで）におけるCVSS 9.8の認証なしPHPオブジェクトインジェクション（信頼されていない入力のデシリアライゼーション）であり、任意のオブジェクト注入が可能です。1.5.2で修正されています。
なぜ重要か
このチャットボットプラグインを使用する任意のサイトで、認証なしの攻撃者がPHPガジェットチェーンを介してリモートコード実行を達成し、AIチャットボットを実行するWordPressホストを乗っ取る可能性があります。ニッチなパッケージであるにもかかわらずです。
攻撃経路
チャットボットフォームプラグインにおける信頼されていないデータの認証なしデシリアライゼーション（PHPオブジェクトインジェクション、CWE-502）で、ネットワークから特権なしで到達可能です。
影響を受けるシステム
Conversational Forms for ChatBot（conversational-forms）1.5.1まで
緩和策
1.5.2にアップグレード（修正版）。勧告：Patchstack WordPress Conversational Forms for ChatBot 1.5.1 PHP Object Injection。