WORDPRESS SECURITY

WordPress Coreの未認証XSSから条件付きRCEへ至る脆弱性（CVE-2026-64638）

High

「WordPress Core」の脆弱性情報（CVE-2026-64638）。影響バージョンは7.0.3未満（修正は4.7以降の各保守ブランチへバックポート）。修正版 7.0.3（旧系列は各セキュリティバックポート版）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: WordPress Core（WordPress本体）
CVE: CVE-2026-64638
CVSS / 深刻度: 8.9 / High
影響バージョン: 7.0.3未満（修正は4.7以降の各保守ブランチへバックポート）
修正版: 7.0.3（旧系列は各セキュリティバックポート版）
脆弱性種別: 未認証の反射型XSS → 条件付きRemote Code Execution

脆弱性の概要

WordPress Core 7.0.3未満には、ログイン画面で認証前に成立する反射型XSSがあり、特定条件下ではPHPコード実行まで発展する可能性があります。CVSS 8.9 Highで、攻撃には細工された第三者サイトへの誘導と対象ユーザーの明示的な操作が必要ですが、公開PoCも存在するため未更新サイトでは優先対応が必要です。

技術的な内容

細工した外部WebページからWordPressのログイン画面へ悪意ある入力を反射させ、対象ユーザーのブラウザ上でスクリプトを実行させる問題です。条件が揃うとWordPress管理操作を悪用してPHPコード実行へ連鎖できます。WordPress.orgは7.0.3で修正し、4.7以降の対象ブランチへバックポートしています。公開PoCはありますが、現時点で実環境での攻撃確認はできていません。

悪用状況

実攻撃は未確認

推奨対応

WordPressを7.0.3以上、実運用では最新のセキュリティ版へ更新してください。管理者・編集者には不審なリンクや外部ページからの誘導に注意し、影響期間中の管理者操作、プラグイン・テーマ変更、未知のPHPファイル、ログイン関連アクセスを確認してください。

情報源

情報確認日時：2026年9月2日 00:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。