WordPress脆弱性一覧｜最新情報・影響バージョンと確認方法
「WordPressに脆弱性が見つかったと聞いたけれど、自分のサイトも対象なのか」「どのプラグインを更新すればよいのか」。脆弱性の情報を確認するときは、問題の名前だけでなく、対象製品・影響を受けるバージョン・修正版・攻撃が成立する条件を照合することが大切です。
この記事では、WordPress本体とプラグインの最近の脆弱性情報、代表的な脆弱性の種類、利用中のサイトへの影響を調べる方法を一覧で整理します。脆弱性への対応と、すでに改ざんされている場合の対応も分けて解説します。
情報確認日：2026年10月13日。以下は、公式の修正告知や脆弱性情報を確認できた主な事例です。すべての製品・脆弱性を網羅した一覧ではありません。掲載した修正版は、その問題を修正したバージョンであり、現在の最新版とは限らないため、更新時には配布元の最新情報も確認してください。
WordPressの最新脆弱性一覧：本体で確認したい情報
まず、最近公表されたWordPress本体の主な修正情報を確認しましょう。WordPress本体の脆弱性は、本体の更新で対処します。セキュリティプラグインを追加するだけでは、修正を適用したことにはなりません。
| 公表日・情報 | 問題の概要 | 影響を受けるバージョン | 修正・出典 |
|---|---|---|---|
| 2026年10月6日 WordPress 7.1.3のセキュリティ修正 | XSS、サービス妨害、SQLインジェクション、権限・情報公開に関する問題など7件 | 問題ごとの厳密な影響範囲は公式リリース告知に一括記載されていません | 7.1.3で修正 公式リリース告知 |
| 2026年9月22日 CVE-2026-87902 | ページテンプレートの解決処理におけるパストラバーサル。条件次第でリモートコード実行につながる可能性 | 例：7.1.0〜7.1.1、7.0.0〜7.0.5、6.9.0〜6.9.8、6.8.0〜6.8.9。その他の対象系列は公式アドバイザリを参照 | 7.1.2、7.0.6、6.9.9、6.8.10などで修正 公式アドバイザリ |
| 2026年7月17日 CVE-2026-60137 | SQLインジェクション。別の脆弱性との組み合わせにも注意が必要 | 6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1 | 6.8.6、6.9.5、7.0.2で修正 IPAの注意喚起 |
| 2026年7月17日 CVE-2026-63030 | REST APIのバッチ処理に関する問題。上記の問題との組み合わせでリモートコード実行につながる可能性 | 6.9.0〜6.9.4、7.0.0〜7.0.1 | 6.9.5、7.0.2で修正 公式リリース告知 |
7.1.3の修正と、過去の修正版を区別する
2026年10月6日公開の7.1.3では、コメント管理画面やImgur埋め込みのXSS、HTTP処理のサービス妨害、WXRエクスポートの二次SQLインジェクション、投稿者権限での先頭固定、非公開・未公開投稿のコメント情報の公開、フックのパラメーター検証に関する問題が修正されています。
WordPress公式の7.1.3告知を確認し、更新を適用してください。「9月の問題を修正した7.1.2を使っている」というだけでは、10月に公表された修正まで適用済みとは判断できません。
CVE-2026-87902は、系列ごとに対象範囲を確認する
CVE-2026-87902は、未認証の攻撃者がテーマのディレクトリ外にある読み取り可能なPHPファイルを読み込ませられる問題です。サーバー環境と有効テーマの条件がそろうと、リモートコード実行につながる可能性があると公式告知で説明されています。
対象は7.1系列だけではありません。一方で、古い系列にも修正版があるため、「4.7〜7.1.1はすべて未修正」とひとまとめにすると、修正済みのバージョンまで含めてしまいます。利用中の系列と正確なバージョンを、公式アドバイザリの対象・修正版一覧に照合してください。
wp2shellは、悪用状況と更新完了の確認が重要
CVE-2026-60137とCVE-2026-63030の組み合わせは「wp2shell」と呼ばれます。IPAの注意喚起では、悪用された脆弱性として米国CISAのKEVカタログに掲載されたことも報告されています。対象バージョンを使用している場合は、更新対応を優先してください。
自動更新が設定されていても、環境や設定によって更新が行われなかったり、失敗したりすることがあります。更新通知の有無だけでなく、実際に稼働しているバージョンを確認しましょう。
WordPressプラグインの脆弱性一覧：最近の公表事例
プラグインの脆弱性は、WordPress本体の更新だけでは修正されません。利用しているプラグインごとに、影響範囲と修正版を確認する必要があります。以下は2026年に公表された事例の一部です。
| 製品・公表日 | 脆弱性・影響 | 影響バージョン／修正版 | 出典 |
|---|---|---|---|
| MW WP Form 2026年10月1日 | CVE-2026-96567 未認証の攻撃者による格納型XSS | 5.1.7以下／5.1.8で修正 | Wordfenceの個別情報 配布元の変更履歴 |
| All-in-One WP Migration and Backup 2026年9月1日（調査記事公開） | CVE-2026-19949 復元処理を介した二次SQLインジェクション。条件次第でコード実行につながる可能性 | 7.109以下／7.110で修正 | Wordfenceの調査報告 配布元の変更履歴 |
MW WP Formの事例では、フォームを通じて保存された内容に不正なスクリプトが入り込み、ページを閲覧した際に実行される可能性があります。All-in-One WP Migration and Backupの事例では、管理者が細工されたアーカイブを復元することが攻撃成立の条件に関わります。製品名やCVE番号だけで、すべてのサイトが同じ危険にさらされていると判断しないようにしましょう。
同じプラグインでも、別の脆弱性が後から報告されることがあります。過去の記事で示された修正版に更新して終わりにせず、確認日以降の告知や変更履歴も継続して確認してください。
【種類別】WordPressの代表的な脆弱性と攻撃手口
具体的な製品・バージョンの一覧とは別に、脆弱性の種類を知っておくと、告知の内容や想定される被害を理解しやすくなります。以下の被害は代表例であり、実際の影響は権限・設定・利用機能などの条件によって変わります。
| 種類 | 問題の仕組み | 想定される被害 |
|---|---|---|
| XSS（クロスサイトスクリプティング） | 入力値や表示内容の処理に不備があり、不正なスクリプトが閲覧者のブラウザで実行される | 不正な画面表示、利用者の権限を使った操作など |
| SQLインジェクション | データベースへの問い合わせ処理に不正な命令が混入する | 情報漏えい、データの改ざん・削除など |
| 認証回避・認可不備・権限昇格 | ログインや操作権限の確認をすり抜ける | 許可されていない情報の閲覧、設定変更、管理者権限の取得など |
| 任意ファイルアップロード | ファイルの種類や保存先の制限が不十分で、意図しないファイルを配置できる | 不正ファイルの設置、条件次第でコード実行 |
| パストラバーサル・任意ファイル読み込み | ファイルパスの処理を悪用し、許可された範囲外のファイルへアクセスする | 設定情報の漏えい、条件次第で不正なPHPファイルの読み込み |
| CSRF（クロスサイトリクエストフォージェリ） | ログイン中の利用者に、意図していないリクエストを送らせる | 設定変更、投稿などの不正操作 |
| RCE（リモートコード実行） | 外部からサーバー上で任意のコードを実行できる | サイトの乗っ取り、不正プログラムやバックドアの設置など |
| 情報漏えい・DoS（サービス妨害） | 公開範囲の不備や、処理への過大な負荷などを悪用する | 非公開情報の閲覧、サービスの応答低下・停止など |
XSS、SQLインジェクション、CSRFなどは、WordPress公式のテーマ開発資料でも注意事項として説明されています。RCEは、別の脆弱性を悪用した結果として成立する場合もあり、一覧の種類は完全に独立したものではありません。
本体・プラグイン・テーマのどこに問題があるかを区別する
- WordPress本体：共通の基盤に関する問題。本体の修正リリースを確認します。
- プラグイン：フォーム、EC、会員管理、バックアップなどの追加機能に関する問題。各製品の配布元で修正状況を確認します。
- テーマ：表示処理や独自機能、同梱ライブラリなどに関する問題。子テーマだけでなく、親テーマも確認します。
これらに加え、サーバー側のソフトウェアや設定も確認が必要です。ただし、弱いパスワード、バックアップの誤公開、WAFや監視の不足は、それぞれ認証・設定・運用の問題であり、すべてをWordPress本体の脆弱性として扱うのは適切ではありません。
自分のWordPressサイトに脆弱性があるか調べる方法
調査では、「既知の脆弱性の対象か」と「すでに侵害されているか」を分けて確認します。対象バージョンを使用していることだけで感染済みとは断定できず、修正版への更新だけで侵害が解消したとも判断できません。
1. 本体・プラグイン・テーマの名称とバージョンを確認する
| 確認対象 | 管理画面での確認場所 | 記録する情報 |
|---|---|---|
| WordPress本体 | 「ダッシュボード」→「更新」 | 現在のバージョン、利用可能な更新 |
| プラグイン | 「プラグイン」→「インストール済みプラグイン」 | 名称、バージョン、有効・無効、配布元 |
| テーマ | 「外観」→「テーマ」→各テーマの詳細 | 名称、バージョン、親テーマの有無、配布元 |
同じような名称の製品があるため、プラグインのスラッグ（配布ページのURLなどで使われる識別名）も記録すると照合しやすくなります。停止中のプラグインや未使用テーマも確認対象に含めてください。
2. 信頼できる情報源で影響範囲と修正版を照合する
| 情報源 | 確認に使う内容 |
|---|---|
| WordPress公式のセキュリティ告知 | 本体の修正リリース、修正内容、関連する公式アドバイザリ |
| IPA・JVN iPedia | 日本語の注意喚起、製品・CVE番号に対応する脆弱性情報 |
| Wordfence Intelligence・WPScan | 本体・プラグイン・テーマの既知の脆弱性情報 |
| WordPress.orgのプラグイン配布ページ・各開発元 | 変更履歴、現在の配布バージョン、修正告知、回避策 |
調べる際は、製品名やCVE番号で検索し、影響バージョン・修正版・必要な権限・利用機能などの条件・公表日や更新日を確認します。データベースの情報と開発元の修正告知を照合し、判断が食い違う場合は開発元や保守担当者へ確認しましょう。
例えば「影響：5.1.7以下」「修正：5.1.8」と記載されている場合、利用中の5.1.7は対象に含まれます。ただし、複数の系列に修正が提供される本体などでは、数字の大小だけで判断せず、該当する系列の範囲に照合してください。
3. 公開情報の簡易チェックと、内部調査を使い分ける
まず公開状態を確認したい場合は、WP KEEPERの無料WordPress脆弱性診断ツールを利用できます。公開情報をもとに、本体の更新状況やHTTPS設定など、外部から確認できる範囲のセキュリティ状態を調べる簡易チェックです。
この無料診断だけで、プラグイン内部の脆弱性やマルウェア感染の有無、完全な安全性を判断することはできません。導入製品とバージョンの照合、サーバー内部の設定やファイル・ログの調査が必要な場合は、管理者・保守担当者による確認も行ってください。
脆弱性が見つかった場合の対応：更新・停止・代替を判断する
対応の優先順位は、深刻度の数値だけでなく、実際に悪用されているか、外部から認証なしで攻撃できるか、業務や情報への影響がどの程度かを踏まえて判断します。すでに改ざんの兆候がある場合は、次の節の初動も確認してください。
修正版がある場合：バックアップ・更新・動作確認を行う
- 利用バージョンが対象か、適用する修正版と必要条件を確認する。
- ファイルとデータベースのバックアップを取得し、復元方法を確認する。
- 可能なら検証環境で動作を確認し、重大な問題への対応が遅れないよう更新を進める。
- 更新後の実際のバージョン、ページ表示、管理画面、フォーム・決済などの主要機能を確認する。
- 対応日・担当者・適用バージョンを記録し、次の更新情報も確認する。
更新の基本手順はWordPress公式の更新ガイドでも確認できます。旧系列に特定の修正が提供されていても、継続的なサポートを保証するものではありません。WordPress公式は最新バージョンのみを積極的なサポート対象としています。
修正版がない場合：停止・削除・代替と一時的な緩和策を検討する
修正版がない製品を、そのまま使い続けてよいとは限りません。開発元の回避策や修正予定を確認し、外部から悪用できる重大な問題であれば、機能の停止・隔離や代替製品への移行を優先して検討します。
プラグインの無効化だけでは、すべての攻撃経路をなくせない場合があります。不要であれば削除を検討し、業務上必要な場合は、影響する機能へのアクセス制限などを担当者と判断してください。フォームや決済などの停止は業務にも影響するため、代替手段も合わせて準備します。
WAFやアクセス制限は一時的な緩和策になる場合がありますが、脆弱性の修正そのものではありません。対象の攻撃経路に有効かを確認し、修正版の適用や製品の置き換えまでの期限と担当者を決めましょう。
すでに改ざん・マルウェア感染が疑われる場合の初動
見覚えのない管理者アカウント、不審なページや外部リンク、意図しないリダイレクト、ファイルの不正な変更などがある場合は、侵害の可能性を調べる必要があります。
- 被害拡大を抑える：ホスティング会社や保守担当者へ連絡し、必要に応じて公開停止・アクセス制限・隔離を判断する。
- 調査に必要な情報を保全する：不審なファイルを不用意に削除する前に、ログや現在のファイル・データベースのコピーを確保する。
- 侵入経路と残存する不正コードを調べる：アカウント、ファイル、データベース、導入製品の脆弱性などを確認する。
- 認証情報の変更と復旧を進める：安全な端末から必要な認証情報を変更し、侵入経路の修正とクリーンな状態への復旧を行う。
WordPress公式の侵害対応ガイドも参考になります。更新やパスワード変更だけで復旧完了と判断せず、対応が難しい場合はWordPressのハッキング・改ざん復旧サービスへ相談してください。別サイトへの転送がある場合は、リダイレクトハッキングの再発防止に関する解説も確認できます。
WordPressの脆弱性についてよくある質問
WordPressの脆弱性情報はどこで確認できますか？
本体はWordPress公式のセキュリティ告知、プラグイン・テーマは配布元の変更履歴や開発元の告知を確認します。IPA・JVN iPedia、Wordfence Intelligence、WPScanも調査の情報源になります。製品名だけでなく、利用中のバージョンを影響範囲に照合してください。
WordPressは脆弱性が多いから使わない方がよいですか？
脆弱性の件数だけで、個別サイトの危険度は判断できません。本体・プラグイン・テーマの構成、更新状況、権限管理、サーバー環境によってリスクが変わります。必要な機能を絞り、更新・監視を継続できるかという運用体制も含めて判断しましょう。
WordPress本体が最新なら安全ですか？
本体が最新でも、プラグイン・テーマの脆弱性、認証情報の漏えい、サーバーの設定不備などは別に確認する必要があります。また、侵入後に本体を更新しても、不正ファイルや不正なアカウントが自動的に除去されるとは限りません。
停止中のプラグインも調べる必要がありますか？
はい。停止中でもファイルがサーバーに残るため、脆弱性の内容によってはリスクが残ります。停止中のものも名称・バージョンを確認し、不要な製品は削除を検討してください。
無料診断で問題がなければ、脆弱性はないと判断できますか？
無料の簡易診断で問題が見つからないことは、完全な安全性の証明にはなりません。外部から確認できない設定、データベースに未登録の脆弱性、マルウェア感染などは別途調査が必要な場合があります。公開状態の確認と、導入製品・内部環境の確認を組み合わせましょう。
まとめ：脆弱性一覧を、自分のサイトの確認と対応につなげよう
WordPressの脆弱性情報は、対象製品・影響バージョン・修正版・攻撃条件を確認して初めて、自分のサイトに必要な対応を判断できます。最新の告知を確認し、本体だけでなくプラグイン・テーマも継続して点検しましょう。
日常の予防策や点検の優先順位は、WordPressのセキュリティ対策7選で詳しく解説しています。更新や脆弱性情報の確認を自社で継続するのが難しい場合は、WP KEEPERのWordPress保守サービスをご確認ください。
参考資料
- WordPress 7.1.3 Maintenance and Security Release
- WordPress 7.1.2 Release／CVE-2026-87902の公式アドバイザリ
- WordPress 7.0.2 Release／IPA：WordPressの脆弱性対策について（wp2shell）
- Wordfence：MW WP FormのCVE-2026-96567／MW WP Formの配布・変更履歴
- Wordfence：All-in-One WP Migration and BackupのCVE-2026-19949／同製品の配布・変更履歴
- WordPress公式：Theme security issues／Hardening WordPress
- WordPress公式：Updating WordPress／FAQ My site was hacked
WordPressの脆弱性対策、プロに相談しませんか？
「自分のサイトは大丈夫？」と不安な方は無料診断を。
すでにトラブルが発生している方は、最短即日の復旧サービスをご利用ください。
更新管理・バックアップ・監視・技術相談まで対応。WordPressサイトの安定運用を継続的にサポートします。
- 24時間365日監視
- 自動バックアップ
- セキュリティ対策
- 技術相談サポート
専門家がサイトの脆弱性や設定状況をチェック。今すぐできる対策をレポートでご提案します。
不正改ざんやマルウェア感染などの緊急事態に迅速対応します。
まずは無料セキュリティ診断で状態をチェック
WordPress脆弱性診断ツール（無料）を使えば、脆弱性や設定不備を手軽に確認できます。「自分のサイトが今どれだけ安全か」を把握することが、安心運用の第一歩です。
WordPress脆弱性診断（無料）既にトラブルが起きているならすぐに修正・復旧を
ハッキング・改ざん・ログイン不可など、深刻なトラブルは放置すると被害が拡大します。WordPressのハッキング・改ざん復旧サービスなら、最短1時間で復旧対応。早期対応で、信頼やビジネスの損失を防ぎます。
WordPressのハッキング・改ざん復旧専門家による保守で安心のサイト運用を
復旧だけで安心するのは危険です。今後の被害を防ぐためには継続的な対策が欠かせません。定期監視・アップデート・バックアップを一括で任せられる継続的なWordPress保守サービスで、長期的に安全な運用を実現しましょう。
WordPress保守サービス専門家による比較記事もご参照ください
WordPress専門家が厳選した、他社サービスとの比較情報を合わせてご覧いただけます。
WordPress保守サービスのおすすめ7選と料金相場を比較する
緊急時に頼れるWordPress復旧サービスのおすすめ7選を比較する
この記事の執筆者
2010年、ソフトウェア開発会社に入社。業務用クラウドサービスの開発に従事し、自社プロダクトの構築や、ユーザー向けデモンストレーションなどを幅広く担当。2012年に退社後、海外での中期滞在を経て、2013年よりフリーランスとしてWeb制作業を開始。2017年、株式会社KOP（ケーオーピー）を設立し、代表取締役に就任。Webクリエイターとしての実務経験を土台に、現在はディレクター／Webコンサルタントとしても活動中。中小企業のWeb戦略に強みを持つ。
