WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/08/06-2026/08/12 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 4件
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.34までの全てのバージョン 4.8.0から4.8.29までの全てのバージョン 4.9.0から4.9.30までの全てのバージョン 5.0.0から5.0.26までの全てのバージョン 5.1.0から5.1.23までの全てのバージョン 5.2.0から5.2.25までの全てのバージョン 5.3.0から5.3.22までの全てのバージョン 5.4.0から5.4.20までの全てのバージョン 5.5.0から5.5.19までの全てのバージョン 5.6.0から5.6.18までの全てのバージョン 5.7.0から5.7.16までの全てのバージョン 5.8.0から5.8.14までの全てのバージョン 5.9.0から5.9.15までの全てのバージョン 6.0.0から6.0.13までの全てのバージョン 6.1.0から6.1.11までの全てのバージョン 6.2.0から6.2.10までの全てのバージョン 6.3.0から6.3.9までの全てのバージョン 6.4.0から6.4.9までの全てのバージョン 6.5.0から6.5.9までの全てのバージョン 6.6.0から6.6.6までの全てのバージョン 6.7.0から6.7.6までの全てのバージョン 6.8.0から6.8.7までの全てのバージョン 6.9.0から6.9.6までの全てのバージョン 7.0.0から7.0.3までの全てのバージョン |
| 修正バージョン | 4.7.35, 4.8.30, 4.9.31, 5.0.27, 5.1.24, 5.2.26, 5.3.23, 5.4.21, 5.5.20, 5.6.19, 5.7.17, 5.8.15, 5.9.16, 6.0.14, 6.1.12, 6.2.11, 6.3.10, 6.4.10, 6.5.10, 6.6.7, 6.7.7, 6.8.8, 6.9.7, 7.0.4 |
| CVSS | 高 (8.8) |
| 脆弱性概要 | 4.7.0から7.0.3までのバージョンにおいて、'WP_Image_Editor_Imagick::load()' での画像処理時の検証不足により、リモートコード実行の脆弱性が存在する。マジックバイト・形式指定子・展開されたコンテンツに基づいて、ファイルがPostScript形式や圧縮フォーマットとして解釈される。投稿者以上の権限を持つユーザーで認証済みの場合（公開されたアップロード用のプラグイン／テーマのパスが存在する場合は認証されていない攻撃者でも）、細工したファイルをアップロードして添付メタデータ生成時に処理させ、ImageMagickおよびGhostscriptの安全でない動作を誘発してリモートコード実行を行うことが可能となる。ただし悪用にはサイトがImagickおよびghostscriptを使用している必要がある。 |
| 対応方法 | いずれかのバージョン以降にアップデートする: 4.7.35, 4.8.30, 4.9.31, 5.0.27, 5.1.24, 5.2.26, 5.3.23, 5.4.21, 5.5.20, 5.6.19, 5.7.17, 5.8.15, 5.9.16, 6.0.14, 6.1.12, 6.2.11, 6.3.10, 6.4.10, 6.5.10, 6.6.7, 6.7.7, 6.8.8, 6.9.7, 7.0.4 |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-65640 |
| 公開日 | 2026-08-12 00:00:00 (2026-08-12 15:55:26更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/3f6b435b-d8b4-434b-8cac-cc3adbc437eb |
プラグイン: FluentSMTP
| 対象製品 | FluentSMTP |
| 対象バージョン | 2.2.95までの全てのバージョン |
| 修正バージョン | 2.3.0 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 2.2.95までの全てのバージョンにおいて、メールログの受信者表示名（'to.name'）のサニタイズおよびエスケープの不足により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。詳細ビュー内の前へ／次へのナビゲーション使用時に発動する。認証されていない攻撃者が、'wp_mail()' 呼び出し内の攻撃者が制御する受信者表示名にペイロードを挿入し、管理者が詳細ビューで確認した際にスクリプトを実行させることが可能となる。 |
| 対応方法 | 2.3.0以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-16636 |
| 公開日 | 2026-08-05 15:10:22 (2026-08-06 03:26:11更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4ad3ed6b-19d4-47c7-a56c-54092c767fe9 |
プラグイン: Fluent Forms
| 対象製品 | Fluent Forms |
| 対象バージョン | 6.2.11までの全てのバージョン |
| 修正バージョン | 6.2.12 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 6.2.11までの全てのバージョンにおいて、通知のSmartcode値（'input_password'・cookie値・'submission.response' など攻撃者の影響下にあるSmartcode）のサニタイズおよびエスケープの不足により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、メール通知の件名または送信先の値に含まれるSmartcodeを経由してペイロードを挿入し、管理者がフォーム投稿ログを表示した際にスクリプトを実行させることが可能となる。ただし悪用にはサイト管理者がメール通知でSmartcodeを設定している必要がある。 |
| 対応方法 | 6.2.12以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-18146 |
| 公開日 | 2026-08-12 18:34:04 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/643f92e2-b14e-4056-97fc-1c631027c54f |
プラグイン: Forminator Forms
| 対象製品 | Forminator Forms |
| 対象バージョン | 1.56.1までの全てのバージョン |
| 修正バージョン | 1.56.2 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 1.56.1までの全てのバージョンにおいて、'Forminator_Core::sanitize_array()' が 'select-' プレフィックス付きのキーをスキップし、'set_field_data()' が送信された 'return' メンバーを信頼できる内部フラグとして扱うことにより、蓄積型クロスサイトスクリプティングの脆弱性が存在する。これにより任意の 'file_url' を持つアップロードフィールドのレコードを作成できる。認証されていない攻撃者が、細工したアップロードフィールドのレコードを永続化させ、任意の 'file_url' でペイロードを挿入して、ユーザーが閲覧した際にスクリプトを実行させることが可能となる。 |
| 対応方法 | 1.56.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-18325 |
| 公開日 | 2026-08-05 15:00:13 (2026-08-06 03:26:11更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/fd9a81eb-2211-42e9-a456-fb60f3ca2c0f |
他の脆弱性: 12件
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、ログイン画面の認証エラーメッセージにおける 'log' パラメータの入力サニタイズと出力エスケープの不足を通じて、ユーザーを特別に細工したページへ誘導することで、そのユーザーのブラウザ内で任意のウェブスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/278da117-fe04-45d6-86d4-e71fe6536032 |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、投稿コンテンツの送信内容に対する制限不足と絵文字設定要素での処理の不十分さを通じて、投稿へ任意のウェブスクリプトを挿入し、ユーザーが投稿をプレビューした際に実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/5faaf7d1-2012-42d5-affa-a5ff3388d25a |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、'gimmeanotherblog' サインアップアクション内でアクティブなサインアップポリシーの確認が欠落していることを通じて、ユーザー登録が有効かつサイト登録が無効に設定されたマルチサイト環境で、新規サイトを作成することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/80f92f7f-72e7-4d83-9ceb-ed0e11fb8003 |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、ユーザー表示名のエスケープ不足とクイック編集機能での処理を通じて、ユーザー数が多いサイトで管理画面にアクセスした際に任意のスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/92babbbf-74bd-474f-9057-c5022a7d64c7 |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、コメントフィードで内部ノートがフィード出力から除外されておらず内部情報に対する制限が不足していることを通じて、本来管理者のみがアクセスできる内部ノートの内容を抽出することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c3f9898b-0aa0-4dd1-9298-96c853dbef5c |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、ユーザー供給CSSのサニタイズ不足を通じて、投稿へ任意のCSSを挿入し、他ユーザーに表示されるページの外観とコンテンツを改変することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c83a2c4d-a264-49ec-85f1-e3f48715d725 |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、ユーザープロフィール更新時の新しいメールアドレスの検証ロジックが一貫していないことを通じて、所有確認のステップを完了せずにアカウントのメールアドレスを変更することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/cac1c1fa-7d6c-43c3-885e-9be320cb8f83 |
コア: WordPress
| 対象製品 | WordPress |
| 対象バージョン | 4.7.0から4.7.33までの全てのバージョン 4.8.0から4.8.28までの全てのバージョン 4.9.0から4.9.29までの全てのバージョン 5.0.0から5.0.25までの全てのバージョン 5.1.0から5.1.22までの全てのバージョン 5.2.0から5.2.24までの全てのバージョン 5.3.0から5.3.21までの全てのバージョン 5.4.0から5.4.19までの全てのバージョン 5.5.0から5.5.18までの全てのバージョン 5.6.0から5.6.17までの全てのバージョン 5.7.0から5.7.15までの全てのバージョン 5.8.0から5.8.13までの全てのバージョン 5.9.0から5.9.13までの全てのバージョン 6.0.0から6.0.12までの全てのバージョン 6.1.0から6.1.10までの全てのバージョン 6.2.0から6.2.9までの全てのバージョン 6.3.0から6.3.8までの全てのバージョン 6.4.0から6.4.8までの全てのバージョン 6.5.0から6.5.8までの全てのバージョン 6.6.0から6.6.5までの全てのバージョン 6.7.0から6.7.5までの全てのバージョン 6.8.0から6.8.6までの全てのバージョン 6.9.0から6.9.5までの全てのバージョン 7.0.0から7.0.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、送信先アドレスの検証不足と予約済みおよびプライベートIP範囲のブロックの不完全さを通じて、ウェブアプリケーションから任意の宛先へ通信要求を送信し、内部ホストやサービスを列挙して相互作用することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/cddbb0f8-fc73-46d7-80af-edb69227084f |
プラグイン: Appointment Booking Plugin
| 対象製品 | Appointment Booking Plugin |
| 対象バージョン | 5.3.2までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'latepoint_resources' ショートコードの 'btn_wrapper_classes' 属性および 'shortcode_latepoint_resources' 関数の 'locations' ブランチにおけるサニタイズとエスケープの不足を通じて、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスした際に実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/25ea860e-c4f8-4660-a8cb-aafc4d02bb19 |
プラグイン: Slider, Gallery, and Carousel by MetaSlider
| 対象製品 | Slider, Gallery, and Carousel by MetaSlider |
| 対象バージョン | 3.111.0までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済みの場合に、'delay' 投稿メタ設定でのサニタイズとエスケープの不足に加え、'ml-slider' カスタム投稿タイプが権限制限なしで登録され 'ml-slider_settings' メタキーが保護されていないことを通じて、XML-RPC経由でメタを操作し、ページへ任意のウェブスクリプトを挿入して、そのページにアクセスした際に実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/3f0082c6-c040-4244-be7b-b133fd24d093 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.2.0までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'post_meta' ショートコードでのサニタイズとエスケープの不足を通じて、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスした際に実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/8d9fe6b4-8696-45eb-bdb8-764dea7cce88 |
プラグイン: Ad Inserter
| 対象製品 | Ad Inserter |
| 対象バージョン | 2.8.16までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'ai_ajax' 関数での権限確認チェックの欠落を通じて、管理者のみに表示が制限された広告ブロックの内容を閲覧することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b5715acd-62e6-4cd8-8fe8-4b1412f287c9 |
総括
この期間内に報告された脆弱性16件のうち、7件は認証されていない攻撃者に影響を受ける脆弱性で、9件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。今回は16件のうち9件が WordPress 本体（コア）の脆弱性であり、全サイトが対象となりうる点で例年になく注意が必要な内容です。以下では深刻度の区分を横断し、想定される影響ごとに整理します。
WordPress 本体（コア）の脆弱性
今回は WordPress コアで9件が報告されました。これらは 7.0.3（8件）と 7.0.4（リモートコード実行の1件）という2つのセキュリティリリースで修正されたもので、対象は概ね 4.7.0 から 7.0.2（リモートコード実行のみ 7.0.3）までと極めて広い範囲に及びます。これは深刻度を考慮し、両リリースとも修正が 4.7 ブランチまで便宜的（as a courtesy）にバックポートされているためです。
- リモートコード実行（CVSS 8.8） — 最も深刻です。WP_Image_Editor_Imagick::load() の検証不足により、細工したファイルがPostScript形式や圧縮フォーマットとして解釈され、添付メタデータ生成時に ImageMagick と Ghostscript の安全でない動作を誘発します。投稿者以上の権限で悪用でき、公開されたアップロード用のプラグイン／テーマのパスがある場合は認証不要となります。Imagick と ghostscript を使用しているサイトが対象です。
- ブラインドSSRF — 認証不要。予約済み・プライベートIP範囲のブロックが不完全で、内部ホストやサービスの列挙と相互作用が可能です。
- メールアドレス変更の確認回避 — 購読者権限で、所有確認を完了せずにアカウントのメールアドレスを変更できます。アカウント乗っ取りの起点となりえます。
- コメントフィードの情報漏洩 — 認証不要で、管理者のみが見られるはずの内部ノートを抽出できます。
- マルチサイトの認可回避 — 購読者権限で、サイト登録を無効にしているマルチサイト環境でも新規サイトを作成できます。
- XSS 3件 — ログイン画面の log パラメータ経由の反射型（認証不要）、絵文字設定経由の蓄積型（寄稿者以上）、クイック編集のユーザー表示名経由の蓄積型（寄稿者以上）。
- CSSインジェクション — 投稿者権限で、他ユーザーに表示されるページの外観とコンテンツを改変できます。
いずれも WordPress を修正済みバージョンへ更新することで解消します。ただし後述のとおり、旧ブランチへのバックポートは恒久的なサポートを意味しません。
サイトの乗っ取り・サーバー侵害につながるもの
- WordPress コア — リモートコード実行（CVSS 8.8）。詳細は前節のとおりで、今回唯一サーバー上でのコード実行に直結します。Imagick と ghostscript を使用しているサイトは最優先で対応してください。
- WordPress コア — メールアドレス変更の確認回避。購読者権限で自アカウントのメールアドレスを所有確認なしに変更でき、権限昇格や乗っ取りの足がかりとなりえます。
個人情報・機密データの漏洩につながるもの
- WordPress コア — コメントフィードの情報漏洩。認証不要で内部ノートの内容が読み取られます。
- WordPress コア — ブラインドSSRF。認証不要で内部ネットワークの探索に利用されます。
- Ad Inserter — 認可回避。ai_ajax 関数の権限確認欠落により、認証不要で管理者限定の広告ブロックの内容を閲覧できます。
コンテンツ改ざん・スクリプト注入（XSS・CSS）
今回の件数として最も多いグループです。特に管理画面で発動するものが複数あり、管理者のセッションが標的となる点に注意が必要です。
- 認証不要で悪用可能なもの
- FluentSMTP（CVSS 7.2）— メール送信時の受信者表示名にペイロードを仕込み、管理者がメールログの詳細ビューを閲覧した際に発動します。
- Fluent Forms（CVSS 7.2）— メール通知のSmartcode経由でペイロードを挿入し、管理者がフォーム投稿ログを表示した際に発動します。サイト管理者がメール通知でSmartcodeを設定している場合が対象です。
- Forminator Forms（CVSS 7.2）— sanitize_array() が select- プレフィックスをスキップする問題を突き、任意の file_url を持つアップロード記録を偽造・永続化します。
- WordPress コア — ログイン画面の log パラメータ経由の反射型XSS。
- 寄稿者以上の権限が必要なもの
- WordPress コア — 絵文字設定経由（投稿プレビュー時に発動）、クイック編集のユーザー表示名経由（管理画面で発動）。
- WordPress コア — CSSインジェクション（投稿者以上）。
- Appointment Booking Plugin（LatePoint） — latepoint_resources ショートコードの btn_wrapper_classes 属性経由。
- MetaSlider — delay 投稿メタ経由。ml-slider カスタム投稿タイプが権限制限なしで登録されており、XML-RPC からメタを操作できます。
- Kirki — post_meta ショートコード経由。
設定変更・サービス妨害につながるもの
- WordPress コア — マルチサイトの認可回避。サイト登録を無効化していても購読者権限で新規サイトを作成でき、意図しないサイトの乱立を招きます。
対応推奨事項
今回は WordPress コアが9件と大半を占めるため、まず WordPress 本体を更新することが最優先です。9件は 7.0.3 と 7.0.4 の2つのセキュリティリリースにまたがっており、リモートコード実行を含むため、いずれも即時の更新が推奨されています。
ここで注意が必要なのは、WordPress が公式にアクティブなサポートを提供しているのは最新バージョンのみという点です。今回いずれのリリースでも 4.7 ブランチまで修正が提供されていますが、これは深刻度を踏まえた便宜的な措置であり、旧ブランチが継続的にサポートされることを意味しません。旧バージョンを使い続けている場合、次に同種の脆弱性が見つかった際に修正が提供される保証はないため、この機会に最新のメジャーバージョンへの移行を計画してください。自動バックグラウンド更新が有効なサイトでは更新が自動的に適用されます。
そのうえで、該当プラグイン（FluentSMTP・Fluent Forms・Forminator Forms・Appointment Booking Plugin・MetaSlider・Kirki・Ad Inserter）を修正バージョンへ更新してください。あわせて、画像処理に Imagick と ghostscript を使用しているかの確認、XML-RPC の利用状況、マルチサイトのサイト登録設定、メール通知のSmartcode設定、寄稿者・投稿者権限アカウントの棚卸しを行うことを推奨します。
