■ セキュリティ・脆弱性情報
– WordPressコア: 格納型クロスサイトスクリプティング(XSS)、URL処理のDoS、WXRエクスポート機能のSQLインジェクション、リモートコード実行(RCE: CVE-2026-87902、対象バージョン4.7.0から7.1.1)、旧バージョンにおけるREST APIバッチ処理のルート混同(CVE-2026-63030)とSQLインジェクション(CVE-2026-60137)のチェーンによる未認証RCEなど、計7件の重大な脆弱性が確認されている。これらに対応するため、セキュリティリリース「WordPress 7.1.3」が公開されており、詳細は [WordPress 7.1.3解説記事]([link removed]) を参照のこと。
– Ninja Forms: 保存型XSS(CVE-2026-94504 / CVE-2026-90438)が悪用され、ログイン不要で悪意あるスクリプトを埋め込まれ、不正プラグインの設置や管理者アカウントの不正作成が確認されている。バージョン3.15.6への更新と侵害点検が急務であり、詳細は [google.com] を確認のこと。
– Rank Math PRO: サプライチェーン攻撃によるバックドア混入(CVE-2026-111862、CVSS 9.8 Critical)が発生しており、2026年10月16日の一部配布ファイルが改ざんされているため単なる更新だけではなく徹底的な侵害点検が必要。詳細は [google.com] を参照のこと。
– その他プラグイン: User Profile Builderの認証バイパス(CVE-2026-15826)、All in One SEO、Forminator Forms、Ultimate Member、WooCommerce、Jetpack、Ajax Search Lite、MountDev AI MCP Connector、Everest Forms Proなどで脆弱性が報告されており、速やかな最新版への更新が必要。
■ WordPressコア動向とロードマップ
– セキュリティ・メンテナンスリリースとして「WordPress 7.1.3」が公開され、脆弱性の塞ぎ込みがハイペースで進められており、次期メジャーリリースは12月10日頃に予定されている。
– AVIF、HEIC、HDR画像のネイティブサポートなどが追加されている。
■ 主要プラグインとエコシステム動向
– プラグインやコアの脆弱性を突いた自動化された攻撃チェーンにより、管理者のブラウザ経由でスクリプトが実行され、不正プラグインの設置やバックドア、管理者アカウントの作成といった被害が観測されている。
– AIエージェントやMCP(Model Context Protocol)コネクターなどの新技術スタックを導入する際の認証バイパスや権限昇格リスクが浮き彫りになっており、サードパーティ連携時のセキュリティ監査の重要性が高まっている。
– PHP 8.2系のサポートが2026年12月31日で終了することに伴い、PHP 8.4系や8.5系への移行計画を立てる時期に入っている。
■ サイト管理者向けアクションインサイト
– 作業を実施する前に、データベース、全ファイル、およびアクセスログのバックアップを確実に取得する。
– WordPressコアを最新の「7.1.3」へ直ちにアップデートし、利用中のプラグインについてもすべて最新の修正版へ更新する。
– 脆弱性を公開していた期間がある場合やパッチ適用後において、見覚えのない管理者アカウント(隠れ管理者)の新規作成、予期せぬファイルの改ざん、不正なプラグインの設置がないかを徹底的に点検する。
– WAFや仮想パッチの導入、不要なプラグインの削減、権限管理の厳格化など多層的なセキュリティ対策を標準化し、自動更新の過信を避けてこまめなバージョン確認と情報収集を行う体制を構築する。
– 自社運用のみでの対応が難しい場合や不正アクセスの痕跡が疑われる場合は、専門家や保守サポートサービスへの調査依頼を検討する。
