■ セキュリティ・脆弱性情報
– PHP本体:認証なしリモートコード実行(RCE: CVE-2026-109618, CVE-2026-109619)が発表され、CVSS 4.0で「9.2」のCritical評価を受けた。v8.5.12、v8.4.27、v8.3.36、v8.2.35への速やかなアップデートが必須である。サポート終了版(7.4〜8.1)には最小限のソースコードバックドアが提供されている。
– WordPressコア:バージョン「7.1.3」がセキュリティ・メンテナンスリリースとして公開され、格納型XSS、URL処理に起因するDoS、WXRエクスポート機能のSQLインジェクション、バージョン4.7.0から7.1.1を対象としたリモートコード実行(RCE: CVE-2026-87902)、旧バージョンのREST APIバッチ処理におけるルート混同(CVE-2026-63030)とSQLインジェクション(CVE-2026-60137)のチェーンによる未認証RCEなど計7件の重大な脆弱性が修正された。
– Rank Math PRO:サプライチェーン攻撃によるバックドア混入(CVE-2026-111862、CVSS 9.8 Critical)が発生しており、2026年10月16日の一部配布ファイル(v3.0.123)にマルウェアが混入している。プラグインの更新だけでは復旧できないため、侵害前のバックアップへの復元や認証情報の交換、徹底的な侵害点検が必要。詳細はRank Math PROのサプライチェーン攻撃解説を確認のこと]([google.com]_math_pro_30123_supply_chain_backdoor_20261020/)を確認のこと)。
– Ninja Forms:保存型XSS(CVE-2026-94504 / CVE-2026-90438)が悪用され、ログイン不要での入力保存や閲覧による悪意あるスクリプトの実行、不正プラグインの設置、管理者アカウントの作成などが確認されている。バージョン3.15.6(または3.15.4以降)への早急な更新と侵害有無の点検が必須である。
– その他のプラグイン:All in One SEO(ショートコードインジェクション CVE-2026-19856、CVSS 6.5)、User Profile Builder(認証バイパス CVE-2026-15826、CVSS 9.8)、LearnPress(権限チェック不備 CVE-2026-39717、CVSS 4.3)のほか、Forminator Forms、Ultimate Member、WooCommerce、Jetpack、Ajax Search Lite、MountDev AI MCP Connector、Everest Forms Proなどで高危険度の脆弱性が多数報告されており、速やかな最新版への更新が必要。
■ WordPressコア動向・ロードマップ
– 7.0.2から7.1.2を経てセキュリティ・メンテナンスリリースとしてWordPress 7.1.3が公開されるなど異例のハイペースで修正が進められており、次期メジャーリリースは2026年12月10日頃に予定されている。
– AVIF、HEIC、HDR画像のネイティブサポートなどが追加されているが、相次ぐセキュリティパッチへの対応や安定運用に向けた基盤維持が最優先課題となっている。
■ 主要プラグイン・エコシステム動向
– プラグインやコアの脆弱性を突いた自動化された攻撃チェーンにより、管理者のブラウザ経由でスクリプトが実行され、不正プラグインの設置やバックドア、管理者アカウントの作成といった被害が観測されている。
– AIエージェントやMCP(Model Context Protocol)コネクターなどの新技術スタックを導入する際の認証バイパスや権限昇給リスクが浮き彫りになっており、サードパーティ連携時のセキュリティ監査の重要性が高まっている。
– PHP 8.2系のサポートが2026年12月31日で終了することに伴い、PHP 8.4系や8.5系への移行計画を立てる時期に入っている。
■ サイト管理者向けアクションインサイト
– 作業を実施する前に、データベース、全ファイル、およびアクセスログのバックアップを確実に取得する。
– WordPressコアを最新の「7.1.3」へ直ちにアップデートし、利用中のプラグインについてもすべて最新の修正版へ更新する。
– 利用中のPHPバージョンを確認し、PHP 8.2〜8.5の環境では提供された最新の修正版(v8.5.12、v8.4.27、v8.3.36、v8.2.35)へ速やかに更新を行う。
– 脆弱性を公開していた期間がある場合やパッチ適用後において、見覚えのない管理者アカウント(隠れ管理者)の新規作成、予期せぬファイルの改ざん、不正なプラグインの設置がないかを徹底的に点検する。
– WAFや仮想パッチの導入、不要なプラグインの削減、権限管理の厳格化など多層的なセキュリティ対策を標準化し、自動更新の過信を避けてこまめなバージョン確認と情報収集を行う体制を構築する。
– 自社運用のみでの対応が難しい場合や不正アクセスの痕跡が疑われる場合は、専門家や保守サポートサービスへの調査依頼を検討する。
