MW WP Formの開発終了で使い続けるリスクと移行先の選び方

MW WP Formの開発終了を知って、今のフォームをどうすればいいか調べている方へ。結論から書くと、今日フォームが止まるわけではありませんが、新しく作るサイトには使わず、既存のサイトも次の改修のタイミングまでに移行先を決めておくのが現実的な線です。

MW WP Formは、確認画面つきのお問い合わせフォームを作れる日本製のプラグインで、公式ディレクトリの有効インストール数は20万を超えています。2023年9月に開発者が開発の終了を表明し、その後は別の会社が脆弱性の修正だけを引き継いでいます。「終了」と聞いた印象ほど急ではなく、かといって放っておいてよい状態でもありません。

この記事では、使い続けるときに実際に何が起きるのか、移行先をどう選ぶか、移行の手順で何を書き出して何を確かめるかを順に書いています。根拠として、公式ディレクトリの記載と脆弱性情報に加えて、ローカルのWordPressにMW WP Formのフォームを作り、Contact Form 7とSnow Monkey Formsへ実際に移行した画面を載せています。

開発は2023年に止まり、今は脆弱性の修正だけが続いている

まず今の状態を正確に押さえます。公式ディレクトリのMW WP Formのページには、次の2行が太字で書かれています。

このプラグインは現在、必要最低限のメンテナンスリリースのみ提供しています。メインの維持管理者は @inc2734 から @websoudan に引き継がれました。

WordPress.org プラグインディレクトリ「MW WP Form」

時系列はこうです。2023年9月に開発者のキタジマタカシ氏がX（旧Twitter）で開発の終了に向けて動くと表明し、同年12月からは株式会社Webの相談所が保守を引き継ぎました。新しい機能は増えていません。2026年に入ってからの更新は、5.1.1から5.1.8まですべて脆弱性への対処です。

ページ上部には「WordPress の最新3回のメジャーリリースに対してテストされていません」という警告も出ています。検証済みは6.4.13で、現在の最新は7.1系です。これは「動かない」という意味ではありません。作者が最新版での動作を確かめていない、という意味です。

使い続けるリスクは止まることより穴が開くこと

「開発終了のプラグインを使い続けると危ない」と言われても、何が危ないのかが分からないと判断できません。MW WP Formの場合、リスクは3つに分けられます。

• 脆弱性が見つかり続けている。2026年だけで5件のCVE（脆弱性の識別番号）が付き、そのうち2件はCVSS 8.1の「認証不要でファイルを移動される」問題でした。修正は出ていますが、更新を止めているサイトはそのまま穴が開いています
• WordPress本体やPHPの更新で動かなくなる可能性が上がっていく。検証がWordPress 6.4で止まっているので、本体を7.x系に上げたときに不具合が出ても、作者側で直す予定はありません
• 利用サイトが20万以上あるので、攻撃側にとって試す価値がある。脆弱性が公開されてから修正版を入れるまでの間が、そのまま狙われる時間になります

識別番号	深刻度（CVSS）	内容	修正版
CVE-2026-48871	7.2	認証不要の格納型XSS	5.1.4
CVE-2026-8853	4.4	編集者以上による格納型XSS	5.1.4
CVE-2026-6206	5.3	非公開・下書きの投稿内容の漏えい	5.1.3
CVE-2026-5436	8.1	認証不要のファイル移動	5.1.2
CVE-2026-4347	8.1	認証不要のファイル移動	5.1.1

表の下3件は春、上2件は初夏に公開されています。修正版は出ているので、今日やることは「5.1.8以上になっているかを管理画面で確かめる」です。そのうえで、修正が出続けること自体が、長く使い続けない理由になります。

移行先は確認画面と添付と保存データの3つで決める

移行先の候補はいくつもありますが、決め手になるのは今のフォームで使っている機能です。MW WP Formで当たり前に使っていた機能のうち、他のプラグインに標準で無いものが3つあります。確認画面、添付ファイル、送信データの保存です。この3つを今のフォームが使っているかで、候補が絞れます。

プラグイン	確認画面	添付ファイル	送信データの保存	自動返信	有効インストール数	作り方
MW WP Form	○	○	○	○	20万+	ショートコード
Contact Form 7	×（アドオンで○）	○	×（Flamingoで○）	○	1,000万+	ショートコード／ブロック
Snow Monkey Forms	○	○	×	○	3万+	ブロック専用
Formari Confirm Form	○	×	○	○	10未満	ショートコード

表は2026年10月時点の公式ディレクトリの記載と、ローカルで実際に入れて確かめた結果です。有効インストール数は「困ったときに情報が見つかるか」「作者が急にやめにくいか」の目安として入れています。

Contact Form 7は確認画面を後付けする

利用数が桁違いに多く、情報も豊富なので、迷ったらここです。ただしMW WP Formの「確認画面」が標準にありません。確認画面を足すアドオンはいくつかあり、今回は公式ディレクトリにあるFrontierline Formsを使いました。このアドオンは確認画面と完了画面に加えて、MW WP Formからの変換機能を無料版に含んでいます。送信データの保存は、同じ作者の公式プラグインFlamingoを足すか、Frontierline Formsの保存機能を使います。

Snow Monkey Formsはブロック型

MW WP Formの元の開発者が作っている後継にあたるプラグインで、確認画面も添付ファイルも標準で使えます。フォームをブロックエディターで組むので、記事をブロックエディターで書いているサイトとは相性がいいです。逆に、クラシックエディターのまま運用しているサイトや、テーマが独自の作りをしているサイトでは、フォーム用にブロックエディターを覚えることになります。送信データの保存機能は無いので、メールが届かなかったときの控えが要るなら別の手段が必要です。最新版はWordPress 7.1以上が必要なので、本体のバージョンも一緒に見ます。

自動変換ツールは2つあるが利用者はまだ少ない

MW WP Formの設定を読み取って自動で変換するプラグインが、2026年10月時点で公式ディレクトリに2つあります。Contact Form 7のアドオンであるFrontierline Formsと、単独のフォームプラグインであるFormari Confirm Formです。どちらも有効インストール数が2桁に届かない新しいプラグインなので、変換の下書きを作る道具として使い、結果は自分の目で確かめる前提で使います。実際に変換した結果は次の章に載せています。

移行は要件の書き出しから旧プラグインの削除までの5手順

今のフォームの設定を全部書き出す

MW WP Formの編集画面には、本文のショートコード以外にも設定が散らばっています。移行先で同じ動きにするために、まず次の項目を1フォームずつ書き出します。

• 項目の一覧と、必須・メール形式・電話番号形式などのバリデーションルール
• 確認画面の有無と、ボタンの文言（「確認画面へ」「送信する」「戻る」）
• 自動返信メールの件名・差出人・本文（本文の中の {お名前} のような差し込み）
• 管理者宛メールの宛先（To・CC・BCC）・件名・本文
• 完了メッセージ、または完了ページのURL
• 問い合わせデータをデータベースに保存しているか（「Inquiry data」に件数があるか）
• reCAPTCHAや郵便番号の自動入力など、追加プラグインとの連携
• フォームを置いているページと、CSSで当てているデザイン

書き出すと、「自動返信の本文に担当者名が入っていた」「完了ページだけ別URLにしていた」のように、作った当時の判断が出てきます。ここを落とすと移行後に気づくのが数か月後になります。

テスト環境で変換して差分を直す

本番のサイトでいきなり入れ替えないでください。ローカル環境か、サーバー会社のステージング機能で、今のサイトの複製を作ってそこで試します。ここからは、ローカルのWordPressにMW WP Formで4項目のフォーム（確認画面あり・自動返信あり）を作り、Frontierline FormsでContact Form 7に変換した実際の画面です。

変換は数秒で終わり、項目・必須の設定・メール設定・確認画面の流れが新しいフォームに移りました。ただし、画面に出ているとおり日本語の項目名はContact Form 7で使えないので、「お名前」は your-name のように置き換わります。メール本文の差し込みは変換ツールが合わせて書き換えますが、本文に手書きで入れていた項目名や、CSSで日本語名を指定していた箇所は手で直します。

ページに置き換えるのは、今のページの [mwform_formkey] のショートコードを、新しいフォームのショートコードに差し替えるだけです。見た目は変わるので、ここでCSSを当て直します。

Formari Confirm Formのほうは、変換前に「変換可能な項目数」と「未対応の項目」を一覧で見せてくれます。添付ファイルの項目があるフォームは、ここで未対応と出るので、Contact Form 7かSnow Monkey Formsに向かうことになります。

送信テストで自動返信と通知を確かめる

変換が終わったら、テスト環境から実際に送信します。確かめるのは4つです。必須項目を空にしたときにエラーが出るか、確認画面に入力内容が出るか、管理者宛メールが届いて差し込みが正しく入っているか、自動返信が送信者に届くか。メールだけは、画面を見ても分かりません。届かない原因の多くは差出人アドレスがサーバーのドメインと違うことで、これはMW WP Formの時代からの設定をそのまま移すと起きます。

切り替えたら旧プラグインは削除する

本番に反映する順番は、新しいフォームを作る、ページのショートコードを差し替える、送信テスト、MW WP Formを無効化、の順です。無効化で止めず削除まで進めたいのですが、その前に1つだけ。「Inquiry data」に保存していた問い合わせデータは、プラグインを削除しても投稿として残りますが、管理画面から見る手段が無くなります。必要ならCSVで書き出してから削除してください。

添付ファイルと独自デザインがあるなら作業は増える

4項目の問い合わせフォームが1つだけなら、ここまでの手順は半日で終わります。作業が増えるのは、添付ファイルを受け付けている、フォームが5つ以上ある、CSSやJavaScriptで見た目や動きを細かく作り込んでいる、問い合わせデータをCSVで定期的に出している、のどれかに当てはまるときです。

制作会社に作ってもらったサイトで、どこに何があるか分からない場合は、フォームのURLと項目数だけ分かれば、こちらで中を見て作業内容と費用をお返しします。本体のバージョンアップと一緒にやることが多いので、WordPress・PHPのバージョンアップ代行のページから相談していただけます。

よくある質問（FAQ）

MW WP Formは今すぐ使えなくなりますか？

いいえ。公式ディレクトリに残っていて、2026年9月にも修正版5.1.8が出ています。ただし新機能は追加されず、動作検証はWordPress 6.4で止まっています。今すぐ止まるわけではないが、次の改修で移行する、という位置づけです。

5.1.8に更新していれば安全ですか？

2026年10月時点で公開されている脆弱性については修正されています。ただし2026年だけで5件の修正が出ており、今後も見つかる可能性があります。更新を欠かさないことと、移行の予定を立てることの両方が要ります。

Contact Form 7には確認画面が無いと聞きました。

標準にはありません。確認画面を足すアドオンを入れます。この記事ではFrontierline Formsを使いましたが、他のアドオンでも構いません。アドオンに頼らず「送信前に内容を確認してください」という文言で済ませる判断もあります。

Snow Monkey Formsはクラシックエディターでも使えますか？

フォーム自体はブロックエディターで作ります。記事をクラシックエディターで書いていても、フォームの編集画面だけブロックエディターを使う形になります。作ったフォームはどのページにも置けます。

保存していた問い合わせデータはどうなりますか？

MW WP Formを削除しても、データは投稿として残ります。ただし管理画面から見る手段が無くなるので、削除前に「Inquiry data」からCSVで書き出してください。Frontierline Formsの有料版とFormari Confirm Formには、保存データを取り込む機能があります。

まとめ

• MW WP Formは2023年9月に開発が終了を表明され、今は別の会社が脆弱性の修正だけを続けている。動作検証はWordPress 6.4のまま
• 使い続けるリスクは、脆弱性が見つかり続けることと、本体の更新で動かなくなっても直されないこと。まず5.1.8以上かを確かめる
• 移行先は、確認画面・添付ファイル・送信データの保存の3つを今のフォームが使っているかで絞り、最後はブロックエディターかどうかで決める
• 移行は、設定の書き出し、テスト環境で変換、差分の修正、送信テスト、切り替えと旧版の削除の5手順。送信テストは飛ばさない
• 自動変換ツールは下書きを作る道具。項目名は英語名に変わるので、メール本文とCSSは手で確かめる