30秒で分かる結論

WordPress公式チームは2026年8月6日（米国時間）、複数の脆弱性を修正するセキュリティリリース「WordPress 7.0.3」を公開しました。今回修正された12件の脆弱性ぜいじゃくせいのうち、最も深刻度が高いのは、ログイン画面に存在する未認証の反射型XSSの脆弱性(CVE-2026-64638)です。CVSS(共通脆弱性評価システム)のスコアは10点満点中8.9で、今回の修正の中で最も高い値です。発見・報告したセキュリティ企業pwn.aiは、この脆弱性を「XSS2Shell」と名付けています。

細工したログインURLを管理者にクリックさせるといった条件がそろえば、WordPress標準の「プラグインエディター」「テーマエディター」機能を経由して、サーバー上で任意のPHPコードを実行される状態まで発展する可能性があるとされています。修正は7.0.3のほか、サポート対象の旧バージョン系統にも4.7系までさかのぼって配信されました。

まず初めに

結論から言う。この脆弱性、被害者に「クリックしてください」とお願いしないと始まらない。攻撃者にしては珍しく礼儀正しいというか、営業活動が必要なタイプだ。とはいえ、偽の通知や巧妙なメールでクリックを誘う手口はこの業界の十八番であり、「お願いされないと発動しない」は「安全」の同義語では断じてない。鍵をどれだけ頑丈にしても、住人が自分でドアを開けてしまえば意味がないという、よくある話の変奏曲である。※個人の感想です

何が起きているのか

CVE-2026-64638は、WordPressのログイン画面における入力処理の不整合が原因です。ログインに失敗した際のエラー表示に細工したユーザー名を仕込むと、WordPress側とPHP側でその文字列の無害化(サニタイズさにたいず)処理の扱いが食い違い、本来は許可されないはずのマークアップがログイン画面上でそのまま実行されてしまう状態が生じます。ログインの成否にかかわらず、アカウントを持たない第三者でも成立する「未認証」の脆弱性である点が特徴です。

ログインに失敗しただけで攻撃が成立するというのは、なかなか皮肉が効いている。

pwn.aiが実演した攻撃チェーン「XSS2Shell」では、この反射型XSSを起点に、ログイン中の管理者を細工したURLへ誘導してクリックさせることで、WordPress管理画面が持つ「プラグインエディター」「テーマエディター」機能(管理画面上でPHPファイルを直接編集できる標準機能)を悪用し、最終的にサーバー上で任意のPHPコードを実行できる状態にまでエスカレートする経路が示されました。WordPress公式のセキュリティ勧告も、この経路について「攻撃対象者に対するソーシャルエンジニアリングそーしゃるえんじにありんぐと、明示的な操作が必要」と説明しており、管理者が細工されたリンクを実際にクリックしなければ、この最終段階までは到達しません。

a computer screen showing a wordpress login page with a warning shield icon, clean flat illustration, no text or logos

影響を受けるバージョンは、海外セキュリティメディアの報道によるとWordPress 6.4から7.0.2までとされています。修正版の7.0.3は2026年8月6日に公開され、WordPress公式チームは、サポート対象の下位バージョン系統についても、4.7系までさかのぼって同様の修正をバックポートばっくぽーと(過去のバージョンへの修正の移植)しました。

なぜ重要なのか

WordPress本体には、今回のログイン画面のXSS以外にも、格納型XSS、権限昇格、情報漏えい、CSSインジェクション、メール確認の回避、SSRF(サーバー側リクエスト偽造)など、あわせて12件の脆弱性が今回の7.0.3で修正されています。CVE-2026-64638はこの中で唯一、未認証かつログイン画面という、ログインすらしていない第三者が接触できる場所に存在した点で、他の11件よりも影響範囲が広いと位置づけられています。

WordPressは世界の相当数のWebサイトで使われているコンテンツ管理システムこんてんつかんりしすてむ(CMS)であり、個人ブログから企業サイト、公的機関のサイトまで幅広く採用されています。IT Postでは、8月上旬にもWordPress本体の別の深刻な脆弱性「wp2shell」(CVE-2026-60137、CVE-2026-63030)を取り上げたばかりですが、今回のXSS2Shellはこれとは異なる脆弱性であり、混同しないよう注意が必要です。wp2shellはログイン情報なしに即座に乗っ取りが成立する脆弱性でしたが、XSS2Shellは管理者の操作(クリック)を必要とする点が異なります。

私たちへの影響

WordPressで運営されているサイトの管理者・運営者が主な当事者です。多くのレンタルサーバーやホスティングサービスでは、WordPress本体の自動更新が有効になっている場合、今回の7.0.3も自動的に適用されますが、自動更新を無効にしている環境では、手動でのバージョン確認・更新が必要です。管理画面の「ダッシュボード」→「更新」から、現在のバージョンが7.0.3(またはサポート対象の各系統の最新パッチ版)になっているかを確認できます。

閲覧者・一般利用者にとっては、通常のWebサイト閲覧で直接被害を受けるものではなく、あくまでサイトの管理者アカウントを持つ人が細工されたリンクを踏んでしまうことが引き金になります。ただし、管理者アカウントが乗っ取られた結果として、サイト上に悪意あるコードが埋め込まれ、閲覧者が別の攻撃に巻き込まれる可能性はゼロではありません。

初心者が知っておくべきこと

クロスサイトスクリプティングくろすさいとすくりぷてぃんぐ(XSS)とは、Webサイトの入力処理の不備を突いて、本来そのサイトが表示するはずのないプログラム(スクリプト)を、閲覧者や管理者のブラウザ上で実行させてしまう攻撃手法の総称です。「反射型」と呼ばれるタイプは、攻撃者が用意した特別なURLを開かせることで発動する点が特徴で、サイト側に悪意あるコードが常時保存される「格納型」とは仕組みが異なります。

a padlock icon overlaid on a wordpress admin dashboard screen, clean flat illustration, no text or logos

今回のケースでは、XSSを起点として、WordPress管理画面の正規機能(プラグインエディター)が悪用されることで、最終的にリモートコード実行りもーとこーどじっこう(RCE、遠隔から任意のプログラムを実行されること)にまで発展する可能性がある点が特徴です。1つ1つは単体で見ると影響が限定的な脆弱性でも、複数を組み合わせる「攻撃チェーン」によって深刻度が跳ね上がる例として、覚えておく価値があります。

よくある質問

Q. 自分が管理しているサイトが対象かどうか、どう確認すればよいですか。

A. WordPressの管理画面にログインし、「ダッシュボード」→「更新」の画面で、現在のバージョンを確認してください。7.0.3、または各サポート対象系統(4.7〜6.9系)の最新パッチ版になっていれば、今回の脆弱性は修正済みです。古いバージョンのまま表示されている場合は、手動での更新が必要です。

Q. WordPressを使ったブログを見ているだけの読者にも影響はありますか。

A. WordPress公式の説明によれば、この脆弱性の悪用にはサイトの管理者アカウントを持つ人物が細工されたリンクをクリックする必要があるとされており、単に記事を閲覧するだけの読者が直接の標的になるものではありません。ただし、サイトが乗っ取られた場合、閲覧者が別の攻撃に巻き込まれる可能性は否定できません。

IT Postの見方

IT Postでは、「クリックさせないと発動しない」という条件は、脆弱性の深刻さを測る基準にはなっても、安全の保証にはならないと考えます。標的型のフィッシングメールは年々巧妙になっており、サイト管理者という「特別な人」を狙い撃ちにする攻撃は、むしろ効率がよいという理由で今後も増えるはずです。CVSS8.9という数字だけを見て「よくある脆弱性の1つ」と流してしまうのは早計で、管理画面の正規機能が乗っ取りの踏み台に使われるという設計上の弱点そのものにも、目を向ける価値があるとIT Postでは考えます。※個人の感想です

今後どうなりそうか

WordPress公式チームは、今後も脆弱性が発見され次第、同様のセキュリティリリースを継続的に公開していくとみられます。2026年8月上旬だけでも、本体の深刻な脆弱性が2週連続で公表・修正される事態となっており、サイト運営者には、個別の脆弱性報道を追いかけるだけでなく、自動更新の有効化や、定期的なバージョン確認を習慣化することが、より実用的な備えになります。