WordPress CoreにAuthor権限からRCEへ至るファイルアップロード脆弱性（CVE-2026-65640）

「WordPress Core」の脆弱性情報（CVE-2026-65640）。影響バージョンは7.0.4未満（ImagickとGhostscriptを利用し、upload_files権限を持つAuthor以上のユーザーがいる環境）。修正版 7.0.4（旧系列は各セキュリティバックポート版） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WordPress Core（WordPress本体）

CVE

CVE-2026-65640

CVSS / 深刻度

8.8 / High

影響バージョン

7.0.4未満（ImagickとGhostscriptを利用し、upload_files権限を持つAuthor以上のユーザーがいる環境）

修正版

7.0.4（旧系列は各セキュリティバックポート版）

脆弱性種別

Author権限以上の悪意あるファイルアップロード経由Remote Code Execution

脆弱性の概要

WordPress Core 7.0.4未満には、ImagickとGhostscriptを利用する環境で、Author以上のupload_files権限を持つユーザーが細工したPostScriptファイルをアップロードすることでサーバー上の任意コード実行につながる脆弱性があります。CVSS 8.8 Highで、WordPress.orgは7.0.4を緊急のセキュリティ更新として公開しています。

技術的な内容

悪意あるPostScriptファイルがImagick経由でGhostscriptに処理されることを利用したRCEです。攻撃にはAuthor以上のupload_files権限と、サーバー側でImagickおよびGhostscriptが利用されていることが必要です。修正はWordPress 7.0.4に含まれ、4.7以降の旧ブランチにもバックポートされています。現時点でCISA KEV掲載や実悪用の信頼できる確認はありません。

悪用状況

実攻撃は未確認

推奨対応

WordPressを7.0.4以上、または利用中の保守ブランチの最新セキュリティ版へ更新してください。投稿者など第三者へupload_files権限を付与している場合は優先し、影響期間中のPS/EPS等の不審なアップロード、PHP・プロセス実行ログを確認してください。不要であればGhostscriptやPostScript処理を制限することも有効です。

情報源

• WordPress.org（公式セキュリティリリース）
• CVE.org（CVEレコード）
• NVD（CVE/CVSS）

情報確認日時：2026年9月2日 00:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。