WordPress 7.0.3が緊急リリース。深刻なXSS脆弱性など12件を修正、早急な更新を

WordPress 7.0.3が緊急リリース。深刻なXSS脆弱性など12件を修正、早急な更新を

WordPressのセキュリティアップデート「7.0.3」が2026年8月6日に公開された。このリリースでは12件の脆弱性が修正され、特に認証前の反射型クロスサイトスクリプティング（XSS）が深刻度8.9と評価されている。

当該のXSS脆弱性は、攻撃者が細工したサイトを経由してログイン画面にアクセスさせることで、リモートコード実行（RCE）に発展する可能性がある。全バージョンのWordPressに影響し、過去のブランチにまでパッチがバックポートされた点からも、緊急性の高さが伺える。

本記事では、修正された脆弱性の詳細と、ユーザーがすぐに実践できる対策をまとめた。

今回修正された12件の脆弱性の概要

WordPress 7.0.3では、以下の12件の脆弱性が修正された。公式発表では深刻度などの情報が最小限に留められているが、いずれも実運用に影響を与え得るものだ。

• 投稿日付ブロックでのContributor+保存型XSS
• 投稿コンテンツブロックでのContributor+保存型XSS
• 最新コメントブロックにおける情報開示（パスワード保護された投稿のコメントが露出）
• メールアドレス確認フローのバイパス
• Author+による安全なCSS属性フィルターのバイパスを介したCSSインジェクション
• 絵文字設定要素を介したContributor+保存型XSS
• マルチサイトネットワークでの権限昇格（ユーザー登録が有効な場合、新規サイト作成が可能）
• URL検証におけるSSRF（サーバーサイドリクエストフォージェリ）により、リンクローカル範囲へのリクエストが可能
• ログイン画面における認証前の反射型XSS（PHPコード実行の可能性あり）
• コメントフィードでのノート開示
• 投稿スラッグの列挙
• 多数のユーザーが存在するサイトでのクイック編集におけるContributor+保存型XSS

特に注意が必要な3つの深刻な脆弱性

修正された12件のうち、以下の3つは危険度が突出して高い。中でもログイン画面のXSSは、リモートコード実行に繋がる恐れがあり、深刻度は10点満点中8.9と評価された。

上のデモは、ログインエラーメッセージにスクリプトが紛れ込むケースを簡略化したものだ。修正前は悪意のあるコードがそのまま実行されてしまうが、修正後は出力が適切にエスケープされ、安全なテキストとして表示される。

ログイン画面の反射型XSS（深刻度8.9）

この脆弱性は、認証前（Pre-auth）の反射型XSSに分類される。攻撃者は特別に細工した悪意のあるWebサイトを用意し、標的ユーザーをそこへ誘導する。ユーザーがそのサイトを経由してWordPressのログイン画面にアクセスすると、不正なスクリプトが実行される可能性がある。

公式のGitHubセキュリティリポジトリによると、この脆弱性を悪用するとリモートコード実行（RCE）にまで発展する恐れがあるという。ただし、攻撃を成立させるにはソーシャルエンジニアリングが必須であり、標的ユーザーが意図的にアクションを起こす必要がある点が緩和要因となっている。

セキュリティ企業Patchstackのオリバー・シルド氏はSearch Engine Journalの取材に対し、「ソーシャルエンジニアリングが必要なため、ハッカーがこのXSSを積極的に悪用する可能性は低いと考えている」とコメントしている。同社では開示時点で緩和ルールを顧客に提供済みだ。

SSRF（サーバーサイドリクエストフォージェリ）による内部情報露出

SSRFとは、サーバーが内部ネットワークに対して不正なリクエストを送信させられる脆弱性だ。今回の事例では、リンクローカルIP範囲（サーバー内のプライベート通信で使われるアドレス）へのリクエストが可能になる。

これにより、本来外部からアクセスできない内部の機密情報が漏洩するリスクがある。公式発表では詳細が明かされていないが、仮想ホスト環境やクラウドインスタンスのメタデータサービスなどが標的になる可能性がある。

マルチサイト環境での権限昇格（新規サイト作成）

ユーザー登録が有効なマルチサイトネットワークにおいて、権限を持たないユーザーが新たなサイトを作成できる脆弱性だ。大学や企業のポータルサイトのような大規模マルチサイト環境では、悪意のあるサイト作成によってブランド毀損やフィッシングサイトの設置などに悪用される恐れがある。

単一サイトの運営者には影響しないが、WPMU（WordPress Multisite）を利用している管理者は直ちにアップデートを適用する必要がある。

XSSの危険性を正しく理解する

今回のリリースで最も注意を集めている脆弱性が反射型XSSだ。クロスサイトスクリプティングは、古くから存在する攻撃手法でありながら、依然として多くのWebアプリケーションで発見される。

OWASP（Open Worldwide Application Security Project）は、XSSを「悪意のあるスクリプトが、信頼された正規のWebサイトに注入される攻撃」と定義する。攻撃者は、ユーザーの入力を適切に検証・エンコードせずに出力することで、任意のスクリプトを実行させる。

実行されたスクリプトは、Cookieやセッショントークンといった機密情報にアクセスできるため、アカウントの乗っ取りや個人情報の窃取に直結する。WordPressのログイン画面でこの攻撃が成立すれば、サイト全体の管理者権限を奪取されるリスクもゼロではない。

WordPressユーザーが取るべき具体的な対策

自動更新が有効か確認する

WordPress 7.0.3はセキュリティリリースのため、自動更新がデフォルトで有効になっている環境では速やかに適用される。管理画面の「ダッシュボード」→「更新」から、現在のバージョンを確認しておこう。

手動更新が必要な場合の手順

何らかの理由で自動更新が失敗した場合は、手動での更新を推奨する。FTP/SFTPでWordPressファイルを上書きする方法が一般的だが、事前にデータベースとファイルの完全バックアップを取得しておくことが鉄則だ。

マルチサイト運営者は特に注意を

ユーザー登録を許可しているマルチサイトネットワークでは、権限昇格の脆弱性が悪用される前に即座に更新する必要がある。また、新規サイト作成の監査ログを確認し、不審なサイトが作成されていないかも点検すべきだ。

この記事のポイント

• WordPress 7.0.3では12件の脆弱性が修正され、ログイン画面の反射型XSSは深刻度8.9
• SSRFやマルチサイト権限昇格も深刻で、特にマルチサイト運営者は早急な対応が必要
• 攻撃にはソーシャルエンジニアリングが必要だが、RCEに繋がる可能性があるため軽視できない
• 自動更新の確認と、全バージョンへのパッチ適用を今すぐ実施すべき

海田 洋祐

・ 複数業界における17年間のデジタルビジネス開発経験
・ ウェブサイト開発のためのHTML、PHP、CSS、JavaScript等の実用的知識
・ 15ヶ国語対応の多言語SaaSの開発経験
・ 17年間にも及ぶ、Eコマース長期運営経験
・ 幅広い業界でのSEO最適化の豊富な経験