TITLE

WordPress全バージョンに影響する脆弱性が見つかりました——今すぐ確認すべきこと

投稿日：2026.08.10

何が起きたのか

見つかったのは CVE-2026-64638、WordPress のログイン画面に存在する反射型クロスサイトスクリプティング(XSS)です。ログインを試みてから失敗するまでの間に処理されるユーザー名の扱いに不備があり、WordPress 側のパーサーと PHP のサニタイズ処理の解釈が食い違っていたことが原因と報じられています。脆弱性の深刻度を数値化する業界標準指標 CVSS(Common Vulnerability Scoring System)のスコアは 8.9(High)。ログイン自体が不要な、認証前(pre-auth)の脆弱性である点が今回の特徴です。

発見・報告したのはセキュリティ研究チーム pwn.ai で、責任ある開示の手順を踏んだとされています。報告時点で悪用が野生で確認された形跡はないと海外メディアは伝えていますが、修正版の公開によって脆弱性の詳細が公になった以上、今後の悪用リスクを楽観視できる段階ではありません。

なぜ「全バージョン」が対象になったのか

今回の影響範囲は WordPress の現行サポート対象全バージョン、具体的には 4.7系から 7.0.2 までにおよび、修正パッチは 4.7 系まで遡ってバックポートされました(4.6 以前はサポート対象外のためバックポートされていません)。

この事実が意味するのは、「うちは最新版に近いから大丈夫」という判断が成立しないということです。ログイン画面という WordPress のほぼ全バージョンに共通して存在する機能に不備があったため、バージョンの新旧を問わず対象になりました。7.0.3 は今回の脆弱性を含めて合計 11 件のセキュリティ問題を修正しており、寄稿者権限以上での複数の XSS、マルチサイト環境での権限昇格、パスワード保護記事のコメント情報漏洩、SSRF(サーバーを踏み台にして内部ネットワークへ不正アクセスする手口)なども同時に塞がれています。

攻撃はどこまで広がりうるか

反射型 XSS 単体は「細工したリンクを踏ませて、被害者のブラウザ上で JavaScript を実行させる」攻撃です。ログイン画面が対象のため認証は不要で、被害者にリンクをクリックさせるだけで成立します。ここまでであれば影響範囲は限定的に見えるかもしれません。

ですが、この脆弱性には続きがあります。すでにログイン済みの管理者(Administrator)が、攻撃者の用意した外部サイトにアクセスして細工されたリンクを操作してしまうと、サーバー上での PHP コード実行、つまりサイトの改ざんにまで発展しうるとされています。この連鎖を pwn.ai は「XSS2Shell」と名付けて報告しました。ブラウザ上だけで完結するはずの XSS が、管理者という一人の操作を経由してサーバー側の実行権限まで到達する——こうした連鎖まで想定されている点が、今回の脆弱性が CVSS 8.9(High)という高い評価を受けている一因といえます。

今すぐやるべきこと

WordPress 公式は「直ちにアップデートを」と呼びかけています。やるべきことは明快で、管理画面のダッシュボードから更新を確認し、7.0.3 が適用されていなければ手動で更新するか、自動更新が有効になっているかを確認することです。

自社サイトが WordPress かどうかはっきりしない場合は、ページのソースを表示して <meta name="generator" content="WordPress..."> の記述を探すか、/feed/ にアクセスして表示される情報を確認する方法があります。ただし、セキュリティ対策としてこの種の情報をあえて隠しているサイトもあり、その場合は外形からの確認ができません。制作を委託した制作会社や運用担当者に直接確認するのが確実です。

まとめ

次の一手は、自社で運用しているか委託しているかで変わります。自社で管理しているなら、今すぐ管理画面を開いてバージョンが 7.0.3 になっているかを確認してください。制作会社や運用担当者に委託しているなら、「WordPress が 7.0.3 になっているか確認してほしい」とひと言連絡するだけで足ります。どちらの立場でも、今日中に動くかどうかが分かれ目です。WordPress を使っているかどうか自体がはっきりしない場合は、まず委託先や運用担当者に聞くことが最初の一歩になります。

出典:

※ この記事は AI を使用しています。Leadeas が自社開発した AI エージェント基盤で下書きを作成し、人間のレビューを経て公開しています。AI ネイティブ開発会社として自社の技術をそのまま実演する目的で、この手法を用いています。(詳しくは AI 利用ポリシー)