2026年8月6日、WordPress 7.0.3が公開されました。
今回のリリースは、12件の脆弱性を修正するセキュリティ更新です。脆弱性とは、攻撃や情報漏えいなどにつながる可能性がある、プログラム上の弱点を指します。WordPress.org は、サイトを直ちに更新するよう案内しています。
「12件の脆弱性」と聞くと不安になるかもしれません。ただし、12件すべてが同じ条件で悪用できるわけでも、すべての WordPress サイトが同じ影響を受けるわけでもありません。
この記事では、WordPress 7.0.3で何が修正されたのか、どのバージョンが影響を受けるのか、サイト運営者が今すぐ何を確認すれば良いのかを、2026年8月7日時点の公式情報をもとに整理します。
まず確認したい結論
今回の更新について、最初に押さえておきたい内容は次の通りです。
- WordPress 7.0.3は、2026年8月6日に公開されたセキュリティ更新です。
- Web ページ上での不正な処理、利用者に許可される操作範囲の問題、情報漏えい、サーバーからの不正な通信など、合計12件の脆弱性が修正されています。
- WordPress.org は、サイトを直ちに更新するよう案内しています。
- WordPress 7.0系を利用している場合は、7.0.3へ更新します。
- WordPress 6.9から4.7にも、それぞれ修正版が公開されています。
- WordPress 4.6以前には今回のセキュリティ修正が提供されません。
- 自動更新に対応したサイトでは、管理画面を開かなくても WordPress が更新を適用する「バックグラウンド更新」が始まります。ただし、実際に更新されたかどうかは自分でも確認した方が安心です。
WordPress 7.0.3で修正された12件の脆弱性
XSS は、Web ページへ悪意のある処理を入り込ませ、そのページを開いた人のブラウザ上で実行させる攻撃です。「反射型」は、URL などから渡された内容がページへすぐに返されて実行されるもの、「蓄積型」は、投稿や設定などに保存された内容が、あとからページを開いたときに実行されるものを指します。
権限昇格は、本来許可されていない操作までできるようになってしまう問題です。SSRF は、攻撃者が WordPress のサーバーを経由させ、本来アクセスさせるべきではない宛先へ通信させる攻撃を指します。
一覧に出てくる「寄稿者」と「投稿者」は、WordPress で操作できる範囲を定めるユーザー権限の名称です。
WordPress 7.0.3では、次の12件が修正されています。
- ログイン画面における、認証前の反射型クロスサイトスクリプティング（XSS）
- 投稿日時ブロックにおける、寄稿者以上の権限で成立する蓄積型 XSS
- 投稿コンテンツブロックにおける、寄稿者以上の権限で成立する蓄積型 XSS
- 絵文字設定要素を経由した、寄稿者以上の権限で成立する蓄積型 XSS
- ユーザー数の多いサイトでクイック編集を利用した際に成立する、寄稿者以上の権限による蓄積型 XSS
- 安全な CSS 属性フィルターを回避し、Web ページの見た目を指定する CSS を不正に差し込む、投稿者以上の権限による問題
- 1つの WordPress で複数のサイトを管理する「マルチサイト」において、ユーザー登録を許可している場合に、ユーザーが新しいサイトを作成できる権限昇格
- 「最新のコメント」ブロックから、パスワード保護された投稿のコメントが見えてしまう情報漏えい
- 投稿 URL の一部に使われる文字列である「投稿スラッグ」を外部から列挙できる問題
- WordPress のコメントを外部で取得するためのコメントフィードに、投稿へ付けた共同編集用ノートが含まれてしまう情報漏えい
- メールアドレス確認手順の回避
- URL 検証において、同じネットワーク内などで使われるリンクローカルアドレスへの通信を許してしまう SSRF
専門用語が多いですが、サイト運営者がすべての仕組みを理解してから更新する必要はありません。大切なのは、WordPress 本体に複数のセキュリティ修正が含まれており、公式に早急な更新が推奨されていると理解することです。
なお、2026年8月7日時点で今回確認した公式情報には、修正された12件がすでに実際の攻撃で悪用されているという記載はありません。緊急性を軽く見るべきではありませんが、確認できていない被害まで断定しないようにしたいところです。
特に注意したいログイン画面の脆弱性
12件のうち、詳しいセキュリティ情報が公開されているのが、ログイン画面における認証前の反射型 XSS です。
この脆弱性には、CVE-2026-64638 という識別番号が付けられています。CVE は、公開された脆弱性を共通の番号で識別する仕組みです。深刻度は High (高い)、脆弱性の深刻さを0から10までの数値で示す CVSS v4 の基本値は8.9とされています。
「認証前」とは、攻撃者が WordPress へログインしていなくても、脆弱性を悪用する入口があるという意味です。
また、WordPress の公式 GitHub リポジトリで公開されたセキュリティ情報では、攻撃者が用意した悪意のある外部サイトを通じ、条件がそろうと PHP コードの実行につながる可能性が説明されています。PHP は WordPress を動かしているプログラミング言語であり、不正な PHP コードを実行されると、サイトのファイルやデータを操作されるおそれがあります。
ただし、ここは少し丁寧に受け止めたいところです。
この攻撃が成立するには、標的となる人へのソーシャルエンジニアリングと、その人による明示的な操作が必要です。ソーシャルエンジニアリングとは、技術的な仕組みを直接破るのではなく、偽の連絡や Web サイトなどで人を信用させ、リンクを開く、情報を入力するといった操作を促す手口です。
セキュリティ情報でも、外部からサーバー上で不正なプログラムを動かす「遠隔コード実行」へ発展するには、攻撃者が制御できない条件があると説明されています。
つまり、「攻撃者が WordPress にログインしていなくても、何の操作もなしに直ちにサイトを乗っ取れる」と説明するのは正確ではありません。一方で、認証前から攻撃の入口になり得て、成立した場合の影響が大きいため、更新を後回しにして良い問題でもありません。
WordPress 7.0を使っていなくても確認が必要です
今回の修正は、WordPress 7.0系だけの話ではありません。ここでいう「系列」とは、WordPress 7.0や6.9のように、同じ大きなバージョンの中で修正を受け取るまとまりを指します。
WordPress 6.9は12件のうち11件、WordPress 6.8から6.0は8件、WordPress 5.9から4.7も7件の影響を受けます。そのため、旧系列にも次の修正版が公開されています。
| 利用中の系列 | 今回の修正版 |
|---|---|
| WordPress 7.0 | 7.0.3 |
| WordPress 6.9 | 6.9.6 |
| WordPress 6.8 | 6.8.7 |
| WordPress 6.7 | 6.7.6 |
| WordPress 6.6 | 6.6.6 |
| WordPress 6.5 | 6.5.9 |
| WordPress 6.4 | 6.4.9 |
| WordPress 6.3 | 6.3.9 |
| WordPress 6.2 | 6.2.10 |
| WordPress 6.1 | 6.1.11 |
| WordPress 6.0 | 6.0.13 |
| WordPress 5.9〜5.0 | 5.9.14、5.8.14、5.7.16、5.6.18、5.5.19、5.4.20、5.3.22、5.2.25、5.1.23、5.0.26 |
| WordPress 4.9〜4.7 | 4.9.30、4.8.29、4.7.34 |
| WordPress 4.6以前 | 今回のセキュリティ修正なし |
WordPress.org は旧系列にも修正を提供していますが、現在、積極的にサポートされているのは最新バージョンだけとも説明しています。
古い系列の修正版へ更新できれば、それで今回の対応は進められます。ただし、古い WordPress を使い続ける長期的なリスクがなくなるわけではありません。特に WordPress 4.6以前を利用している場合は、今回の修正を受け取れないため、サイトの更新や移行について制作会社・保守担当者へ相談した方が良いでしょう。
サイト所有者が今すぐ確認したいこと
1. 現在の WordPress バージョンを確認する
WordPress の管理画面へログインし、「ダッシュボード」→「更新」を開きます。
すでに7.0.3、または利用中の系列に対応した修正版になっていれば、今回のセキュリティ修正は適用されています。自動更新のメールが届いていても、管理画面で実際のバージョンを確認しておくと安心です。
2. 更新前にバックアップと復元方法を確認する
セキュリティ更新は早く適用したい一方で、問題が起きたときに戻せる準備も必要です。
最低限、次の点を確認します。
- 画像やテーマなどのファイルと、投稿や設定を保存しているデータベースのバックアップがある
- バックアップの取得日時が新しい
- 誰が、どの画面から復元できるか分かる
- 更新後すぐにサイトを確認できる時間を確保できる
バックアップの取得に時間がかかる、復元方法が分からないといった理由で何日も更新を止めるのは避けたいところです。判断できない場合は、早めにサーバー会社や保守担当者へ相談してください。
3. 対応する修正版へ更新する
WordPress 7.0系であれば7.0.3へ更新します。古い系列を利用している場合は、管理画面に表示される、その系列のセキュリティ修正版を確認してください。
自動バックグラウンド更新に対応しているサイトは順次更新されます。ただし、自動更新を無効にしている、サーバーや管理ツール側で更新を制御している、WordPress が更新ファイルを書き換える権限に問題がある、といった場合は自動で更新されないことがあります。
自動更新されるはずだと決めつけず、実際のバージョンを確認することが大切です。
4. 更新後に表示と重要な機能を確認する
更新が完了したら、少なくとも次の場所を確認します。
- トップページと主要ページが表示できる
- WordPress の管理画面へログインできる
- 問い合わせフォームを送信できる
- 予約、購入、会員ログインなどの重要な機能が動く
- レンタルサーバーや WordPress にエラーが表示されていない
セキュリティ更新であっても、利用中のテーマやプラグイン、独自のカスタマイズとの組み合わせまですべて保証されるわけではありません。更新できたことと、サイトが正常に使えることは分けて確認したいところです。
自分で対応できない場合に用意したい情報
次のような場合は、制作会社や保守担当者へ相談することをおすすめします。
- WordPress の管理画面へログインできない
- 現在のバージョンが分からない
- バックアップや復元方法が分からない
- WordPress 4.6以前を利用している
- 更新後に画面が真っ白になった、表示が崩れた、フォームが動かなくなった
- EC (ネットショップ)、予約、会員管理など、停止すると影響の大きい機能がある
- 独自開発や大きなカスタマイズがあり、自分で影響を判断できない
相談するときは、次の情報を用意しておくと状況を共有しやすくなります。
- サイトの URL
- 現在の WordPress バージョン
- 管理画面へログインできるか
- レンタルサーバーの名称
- バックアップの有無と取得日時
- 更新後に確認したい重要な機能
- すでに更新した場合は、更新日時と発生している症状
まとめ
WordPress 7.0.3は、合計12件の脆弱性を修正するセキュリティ更新です。WordPress.org は直ちに更新するよう案内しており、WordPress 7.0系だけでなく、4.7までの旧系列にも修正版が提供されています。
一方で、「12件すべてが重大で、何もしなくてもすぐに不正アクセスや改ざんを受ける」と受け取るのも正確ではありません。個別のセキュリティ情報が公開されている High の脆弱性にも、攻撃成立には標的側の操作などの条件があります。
だからといって更新を待つ理由にはなりません。今回のようなセキュリティ更新では、落ち着いて次の順番で進めるのが現実的です。
- 現在のバージョンを確認する
- バックアップと復元方法を確認する
- 利用中の系列に対応した修正版へ更新する
- 更新後の表示と重要な機能を確認する
個人的には、セキュリティ情報を「怖い話」で終わらせず、確認と更新の手順へ置き換えることが大切だと考えています。
オレインデザインでは、WordPress のバージョン確認、バックアップ、更新作業、更新後の表示・機能確認まで含めたWordPress 運用・実装サポートを行っています。自分のサイトが今回の更新対象か分からない段階でも、現在の状態を整理するところからご相談いただけます。
この記事が、安全に更新を進めるための参考になれば嬉しいです。
