2026年8月12日、WordPress 7.0.4 が公開されました。
今回のリリースでは、攻撃者が悪意のあるファイルをアップロードすると、条件によってはサーバー上で不正なプログラムを実行できてしまう脆弱性が修正されています。WordPress.org はセキュリティリリースであるとして、サイトを直ちに更新するよう案内しています。
一方で、インターネット上の誰もが、ログインせずに攻撃できる脆弱性ではありません。攻撃には WordPress のユーザー権限やサーバー構成など、複数の条件が必要です。
この記事では、WordPress 7.0.4 で何が修正されたのか、誰に影響するのか、サイト所有者が今すぐ何を確認すれば良いのかを、2026年8月13日時点の公式情報をもとに整理します。
まず確認したい結論
今回の更新について、最初に押さえておきたい内容は次の通りです。
- WordPress 7.0.4 は、2026年8月12日に公開されたセキュリティ更新です。
- CVE-2026-65640 という脆弱性が修正されています。
- 深刻度は High (高い)、CVSS v3 の基本値は8.8です。CVSS は、脆弱性の深刻さを0から10までの数値で示す共通の評価方法です。
- 攻撃が成立すると、サーバー上で不正なプログラムを実行される可能性があります。
- 攻撃には、ファイルをアップロードできる認証済みユーザーと、Imagick と Ghostscript を利用しているサーバー環境が必要です。
- 攻撃条件は限られていますが、成立した場合の影響が大きいため、WordPress.org は直ちに更新するよう案内しています。
- WordPress 7.0 系だけでなく、6.9から4.7までの旧系列にも修正版が公開されています。
- 自動バックグラウンド更新に対応しているサイトでは更新が始まりますが、実際のバージョンは自分でも確認した方が安心です。
公式発表: WordPress 7.0.4 Release
WordPress 7.0.4 で修正された脆弱性
今回修正されたのは、CVE-2026-65640 (GHSA-8vr3-7mxf-gx8w) という脆弱性です。
脆弱性の種類は Remote Code Execution (RCE) です。日本語では「遠隔コード実行」と呼ばれ、攻撃者が離れた場所から、サーバー上で本来許可されていないプログラムを動かせてしまう問題を指します。成功すると、サイトのファイルやデータを操作されるなど、大きな被害につながる可能性があります。
公式のセキュリティ情報では、深刻度は High、CVSS v3 の基本値は8.8とされています。攻撃に利用者の操作は必要ありませんが、攻撃者は WordPress にログインし、ファイルをアップロードできる権限を持っている必要があります。
詳細: CVE-2026-65640 / GHSA-8vr3-7mxf-gx8w
攻撃が成立するには複数の条件がある
公式のセキュリティ情報には、少なくとも次の条件が示されています。
- サーバーで Imagick と Ghostscript が使われている
- 攻撃者が
upload_files権限を持つ WordPress ユーザーとしてログインできる
upload_files は、WordPress へ画像などのファイルをアップロードできる権限です。標準のユーザー権限では、一般的に「投稿者」以上が持っています。
Imagick は、WordPress が画像を加工する際に利用することがある PHP の拡張機能です。その内部では ImageMagick という画像処理ソフトウェアが使われます。Ghostscript は、PDF や PostScript などを処理するソフトウェアです。
今回の問題を単純化すると、次のような流れです。
- ファイルをアップロードできるユーザーが、悪意のあるファイルを WordPress へ送る
- WordPress がそのファイルを Imagick へ渡す
- Imagick がファイルを PostScript と判断し、Ghostscript で処理する
- 条件がそろうと、サーバー上で不正なプログラムが実行される
管理者1人だけで運用し、ほかに投稿者がいない一般的な企業サイトよりも、外部ライターや会員へファイルのアップロードを許可しているサイトの方が、攻撃の条件を満たしやすくなります。
ただし、自分のサイトは条件に当てはまらないだろうと推測し、更新を見送ることはおすすめできません。 サーバー構成や、プラグインが追加した権限までサイト所有者が正確に把握するのは難しく、修正版もすでに公開されているためです。
WordPress 側で危険なデータを画像処理へ渡さないようにした
実際の修正は、wp-includes/class-wp-image-editor-imagick.php に加えられています。このファイルは、WordPress が Imagick を使って画像を処理する部分です。
WordPress 7.0.4 では、PostScript の可能性があるデータを Imagick へ渡す前に拒否する処理が追加されました。単にファイル名の拡張子を見るだけではなく、ファイルの中身を示す先頭部分も確認します。
また、PDF は %PDF- という特徴的なデータから始まることを確認してから処理し、圧縮された危険なファイルが Imagick によって自動展開される迂回経路も防ぐ方向へ変更されています。
つまり、Ghostscript を更新したのではなく、WordPress 側でファイルの実データを確認し、危険な形式を画像処理へ渡さないようにした修正です。
実際の修正: Media: Prevent loading images into Imagick which might be PostScript.
WordPress 7.0 を使っていなくても確認が必要
今回の脆弱性は、WordPress 7.0 系だけの問題ではありません。WordPress 6.9から4.7までの旧系列にも、次の修正版が公開されています。
| 利用中の系列 | 今回の修正版 |
|---|---|
| WordPress 7.0 | 7.0.4 |
| WordPress 6.9 | 6.9.7 |
| WordPress 6.8 | 6.8.8 |
| WordPress 6.7 | 6.7.7 |
| WordPress 6.6 | 6.6.7 |
| WordPress 6.5 | 6.5.10 |
| WordPress 6.4 | 6.4.10 |
| WordPress 6.3 | 6.3.10 |
| WordPress 6.2 | 6.2.11 |
| WordPress 6.1 | 6.1.12 |
| WordPress 6.0 | 6.0.14 |
| WordPress 5.9〜5.0 | 5.9.16、5.8.15、5.7.17、5.6.19、5.5.20、5.4.21、5.3.23、5.2.26、5.1.24、5.0.27 |
| WordPress 4.9〜4.7 | 4.9.31、4.8.30、4.7.35 |
| WordPress 4.6以前 | 今回のセキュリティ修正なし |
WordPress.org は旧系列へも今回の修正を提供していますが、積極的にサポートされているのは最新バージョンだけとも説明しています。
古い系列の修正版へ更新できれば、今回の脆弱性への対応は進められます。しかし、古い WordPress を使い続ける長期的なリスクがなくなるわけではありません。特に WordPress 4.6以前を利用している場合は今回の修正を受け取れないため、最新版へ更新する方法やサイト移行について、制作会社・保守担当者へ相談した方が良いでしょう。
7.0.3 を適用したばかりでも、もう一度確認する
WordPress 7.0.3 は、2026年8月6日に公開されました。そこから6日後の8月12日に、別の脆弱性を修正する WordPress 7.0.4 が公開されています。
そのため、先週7.0.3へ更新したサイトでも、7.0.4への更新が必要です。「最近更新したばかりだから大丈夫」とは判断せず、現在のバージョンを確認してください。
サイト所有者が今すぐ確認したいこと
1. 現在の WordPress バージョンを確認する
WordPress の管理画面へログインし、「ダッシュボード」→「更新」を開きます。
WordPress 7.0 系であれば7.0.4、古い系列であれば前の表にある修正版になっているか確認します。自動更新のメールが届いていても、実際のバージョンを管理画面で確認しておくと安心です。
2. バックアップと復元方法を確認する
セキュリティ更新は早く適用したい一方、問題が起きたときに戻せる準備も必要です。
最低限、次の点を確認します。
- WordPress のファイルとデータベースのバックアップがある
- バックアップの取得日時が新しい
- 問題が起きたときに、誰がどの方法で復元するか分かる
- 更新後すぐにサイトを確認できる時間を確保している
バックアップや復元方法が分からないまま何日も更新を止めるのではなく、早めにサーバー会社や保守担当者へ相談してください。
3. 利用中の系列に対応した修正版へ更新する
管理画面の「ダッシュボード」→「更新」から、利用中の系列に対応する修正版へ更新します。
自動バックグラウンド更新に対応しているサイトは順次更新されます。ただし、自動更新を無効にしている、サーバーや管理ツール側で更新を制御している、WordPress がファイルを書き換える権限に問題がある、といった場合は自動で更新されないことがあります。
自動更新されるはずだと決めつけず、更新後のバージョンまで確認することが大切です。
4. 更新後に表示と重要な機能を確認する
更新が終わったら、少なくとも次の場所を確認します。
- トップページと主要ページが表示できる
- WordPress の管理画面へログインできる
- 画像をアップロードできる
- 問い合わせフォームを送信できる
- 予約、購入、会員ログインなどの重要な機能が動く
今回の変更は Imagick を使った画像処理に関係しています。PDF のアップロードやサムネイル生成を業務で利用している場合は、その動作も重点的に確認したいところです。
制作・保守担当者が追加で確認したいこと
制作会社や保守担当者は、更新作業に加えて次の点も確認しておくと良いでしょう。
- 投稿者以上のユーザーや、不要になったアカウントが残っていないか
- 独自の権限設定やプラグインにより、会員などへ
upload_files権限を与えていないか - WordPress 7.0.4、または利用中の系列の修正版へ更新されたか
- 更新後に画像のアップロード・編集が動作するか
- PDF のアップロードやサムネイル生成を利用している場合、その処理が動作するか
- エラーログや監視サービスに新しい異常が出ていないか
Imagick や Ghostscript を無効にすれば攻撃面を減らせる可能性はありますが、PDF のサムネイル生成などへ影響することがあります。通常は、これらを場当たり的に停止するより、WordPress を修正版へ更新し、必要な機能を更新後に確認する方が現実的です。
自分で対応できない場合に用意したい情報
次のような場合は、制作会社や保守担当者へ相談することをおすすめします。
- WordPress の管理画面へログインできない
- 現在のバージョンが分からない
- バックアップや復元方法が分からない
- WordPress 4.6以前を利用している
- 複数の投稿者、外部ライター、会員がファイルをアップロードできる
- 更新後に画像や PDF をアップロードできなくなった
- EC (ネットショップ)、予約、会員管理など、停止すると影響の大きい機能がある
相談するときは、次の情報を用意しておくと状況を共有しやすくなります。
- サイトの URL
- 現在の WordPress バージョン
- 管理画面へログインできるか
- レンタルサーバーの名称
- バックアップの有無と取得日時
- 投稿者や会員がファイルをアップロードする運用があるか
- PDF のアップロードやサムネイル生成を利用しているか
- すでに更新した場合は、更新日時と発生している症状
まとめ
WordPress 7.0.4 は、悪意のあるファイルのアップロードから、サーバー上で不正なプログラムを実行される可能性がある脆弱性を修正するセキュリティ更新です。
攻撃には、ファイルをアップロードできる認証済みユーザーと、Imagick と Ghostscript を利用しているサーバー環境が必要です。すべての WordPress サイトが同じ危険度ではありませんが、成立した場合の影響は大きく、WordPress.org も直ちに更新するよう案内しています。
個人的には、今回の更新は保守運用上の優先度を「高」として扱うのが妥当だと考えています。条件が限られていることを理由に後回しにするのではなく、次の順番で進めてください。
- 現在の WordPress バージョンを確認する
- バックアップと復元方法を確認する
- 利用中の系列に対応した修正版へ更新する
- 更新後の表示、画像や PDF の処理、重要な機能を確認する
オレインデザインでは、WordPress のバージョン確認、バックアップ、更新作業、更新後の表示・機能確認まで含めたWordPress 運用・実装サポートを行っています。自分のサイトが今回の更新対象か分からない段階でも、現在の状態を整理するところからご相談いただけます。
この記事が、安全に更新を進めるための参考になれば嬉しいです。
