「WordPress」ログイン画面に深刻なXSS脆弱性（CVE-2026-64638）― 直ちに7.0.3へ更新を

はじめに

2026年8月6日、WordPress開発チームはセキュリティアップデート「WordPress 7.0.3」を公開しました。今回の更新では、ログイン画面に存在する深刻な反射型XSS脆弱性（CVE-2026-64638、CVSSv4.0スコア8.9）を含む合計12件の脆弱性が修正されています。認証前の状態でも悪用可能なため、WordPressを運用するすべての情シス担当者は直ちにアップデートを実施することが推奨されています。

1. 何が起きたか

WordPressの開発チームは現地時間2026年8月6日に公式アドバイザリを公開し、セキュリティアップデート「WordPress 7.0.3」のリリースを発表しました。

今回修正された脆弱性は合計12件にのぼります。内容はログイン画面の反射型XSSを筆頭に、権限昇格・情報漏洩・サーバーサイドリクエストフォージェリ（SSRF）など多岐にわたります。公式アドバイザリでCVE番号が明示されたのは「CVE-2026-64638」の1件のみですが、その他の問題にも深刻なものが含まれており、早急な対応が求められています。

2. CVE-2026-64638の詳細

最も深刻な脆弱性は、WordPressのログイン画面に存在する反射型XSS（クロスサイトスクリプティング）です。

この脆弱性は、攻撃者が用意した外部サイトにユーザーを誘導し、特定の操作を行わせることで、WordPress サイト上で一定の条件下においてPHPコードを実行できるというものです。

認証なしで悪用できる点が特に危険です。WordPressのログイン画面を外部に公開している環境では、不特定多数の攻撃者によるターゲットとなるリスクがあります。

3. その他修正された脆弱性（12件の概要）

CVE-2026-64638以外にも、今回のアップデートで以下の問題が修正されています。

外部から認証なしで攻撃可能な問題（スラッグ列挙・コメント情報漏洩・SSRF）も含まれているため、バージョンアップは全員対象です。

4. 情シス担当者が取るべき対応

即時対応（最優先）

WordPress 本体を 7.0.3 へアップデートする

WordPress管理画面の「ダッシュボード → 更新」から「今すぐ更新」をクリックするだけで適用できます。自動更新が有効なサイトでは間もなく自動的に適用されます。

チェックリスト

• 管理下のすべてのWordPressサイトを7.0.3以上にアップデート済みか確認する
• マルチサイトを運用している場合、権限設定・ユーザー登録機能の設定を見直す
• WordPress 4.7〜7.0.2を利用中の場合はバックポートパッチが提供されているため対象バージョンを確認する
• ログイン画面（wp-login.php）へのアクセスをIP制限・VPN接続必須にしていない場合は対策を検討する
• 更新後に管理画面・フロントエンドの動作確認を実施する

補足：最新版のみが積極的なサポート対象

WordPress公式の案内では「積極的にサポートされるのは最新バージョンのみ」と明記されています。今回は4.7以降のバージョンにもバックポートパッチが提供されますが、長期的には最新版への移行計画を立てることを推奨します。

5. まとめ

WordPress 7.0.3では、認証不要で悪用可能なログイン画面の反射型XSS脆弱性（CVE-2026-64638、CVSSv4.0スコア8.9）を含む12件の脆弱性が修正されました。条件次第でPHPコード実行につながる深刻な問題であるため、直ちに7.0.3へのアップデートを実施してください。

対応の優先順位：

1. WordPress本体を7.0.3へアップデート（最優先・全サイト対象）
2. マルチサイトの権限設定・ユーザー登録機能の見直し
3. ログイン画面へのアクセス制限強化の検討

出典

• WordPress 7.0.3 release（WordPress.org公式）
• CVE-2026-64638 / GHSA-52p2-r8wf-jcrf（GitHub Security Advisory）