■ セキュリティ・脆弱性情報
– WordPressコア: WordPress 6.8.x〜7.0.xの旧バージョンにおいて、REST APIバッチ処理のルート混同(CVE-2026-63030)とSQLインジェクション(CVE-2026-60137)のチェーンによる未認証RCE(通称wp2shell、CVSS 9.8)が確認されており、さらに格納型XSSやバージョン4.7.0から7.1.1を対象としたリモートコード実行(RCE: CVE-2026-87902)などを含めた脆弱性を修正するため、セキュリティリリース「7.1.3」への即時アップデートが必須となっている。詳細については [WordPressニュース]([link removed])を参照。
– プラグイン動向: Ajax Search Lite、MountDev AI MCP Connector、Everest Forms Proなどにおいて、オブジェクトインジェクションやファイルアップロードを通じた高危険度の脆弱性が多数確認されている。また、Ninja Formsの保存型XSS(CVE-2026-94504)が悪用されて不正プラグインの設置や管理者アカウントの不正作成が行われているほか、User Profile Builderの認証バイパス問題やAll in One SEOに関する問題が報告されている。
■ WordPressコア動向&ロードマップ
– 開発進捗: 7.0.2から7.1.2を経て、直近ではセキュリティ・メンテナンスリリースとしてWordPress 7.1.3が公開されるなど、異例のハイペースで修正が進められている。次期メジャーリリースは12月10日頃に予定されている。
– 新機能・仕様変更: AVIF、HEIC、HDR画像のネイティブサポートなどが追加されているが、相次ぐセキュリティパッチへの対応や安定運用に向けた基盤維持が最優先課題となっている。
■ 主要プラグイン&エコシステム動向
– 被害・リスク傾向: プラグインの脆弱性を突いた自動化された攻撃チェーンにより、管理者のブラウザ経由で不正プラグインの設置やバックドア、管理者アカウント作成などの被害が観測されている。また、AIエージェントやMCP(Model Context Protocol)コネクターなどの新技術スタックを組み込む際の認証バイパスや権限昇給リスクが浮き彫りになっており、サードパーティ連携時のセキュリティ監査が重要視されている。
■ サイト管理者向けアクションインサイト
– 即時対応すべき更新: 作業を行う前にデータベースとファイルのバックアップを確実に取得した上で、WordPressコアを最新の「7.1.3」へ、利用中のプラグインを最新版へ即時アップデートする。自動更新の稼働状況やコンフィグ設定の影響も手動で確認する。
– 侵害点検と多層防御: 脆弱性を公開していた期間がある場合やパッチ適用後、不審な管理者アカウント、予期せぬファイルの改ざん、不正プラグインの設置がないか徹底的な侵害点検を行う。また、従来の月1回の保守にとどまらず、WAFや仮想パッチの導入、不要なプラグインの見直し、権限管理の厳格化など、多層的なセキュリティ対策を標準化する。
