WordPressに「CVSS 8.9」の脆弱性 全バージョンに影響、公式が更新呼びかけ
Webサイトの構築や運営に広く使われている「WordPress」に、サイトの乗っ取りにつながる恐れのある脆弱性が見つかりました。
公式では危険度を「High」、10点満点の指標で8.9と評価。すでに8月6日付で問題を修正した最新版が公開されており、利用者には速やかなアップデートを呼びかけています。
■ WordPress管理者は特に注意
今回見つかったのは「CVE-2026-64638」と呼ばれる脆弱性です。WordPressのログイン画面にある不具合を悪用するものです。
特に注意が必要なのは、WordPressの管理者権限を持つユーザーです。
攻撃者は、WordPressへログイン中の管理者を自身が用意したページへ誘導。そこでクリックなどの操作をさせることで、この不具合を足がかりに、さらに深刻な攻撃へ発展させる可能性があります。
こうした管理者の誘導には、メールやSNSなどを使うソーシャルエンジニアリングが利用される可能性があり、注意が必要です。
脆弱性を発見したセキュリティ企業「pwn.ai」は、こうした仕組みを利用して管理者権限を持つユーザーを狙った攻撃を実証。最終的に、WordPressが置かれているサーバー上でPHPコードを実行するところまで確認したとしています。
つまり条件がそろえば、サイトの内容を書き換えられたり、不正なプログラムを設置されたりする恐れがあります。
■ WordPress本体の問題 全バージョンが影響
今回の問題は特定のプラグインやテーマだけに存在するものではなく、WordPress本体に見つかったものです。
WordPress公式は全バージョンが影響を受けると説明しており、最新版の「WordPress 7.0.3」のほか、4.7系までさかのぼって修正版が提供されています。4.6以前も脆弱性の影響を受けますが、今回の修正の提供対象には含まれていません。
自動更新が有効になっているサイトではセキュリティ更新が自動的に適用される場合がありますが、WordPressは利用者に対し、できるだけ早く修正版へ更新するよう呼びかけています。
なお、国際的サイバーセキュリティ専門ニュースサイト「The Hacker News」の報道によると、8月7日時点でこの脆弱性が実際の攻撃に悪用されたとの報告は確認されていません。
ただし、すでに具体的な攻撃手法が公開されているため、WordPressでサイトを運営している場合は、管理画面から現在のバージョンと更新状況を確認しておいた方がよさそうです。
＜参考・引用＞
The Hacker News
WordPress.org「WordPress 7.0.3 Release」
pwn.ai「XSS2Shell」
WordPress Security Advisory「CVE-2026-64638」
