最優先はバージョン確認と公式更新
7.0系は7.0.2、6.9系は6.9.5、6.8系は6.8.6へ更新してください。 WordPress.orgは深刻度を踏まえて影響バージョンへの強制自動更新を有効化しましたが、各サイトで更新完了を確認する必要があります。
- ホスティング管理画面とWordPress管理画面の両方で現在バージョンを確認する。
- ファイルとデータベースのバックアップを取り、取得時刻を記録する。
- 公式の［更新］画面またはホスティング事業者の手順で修正版へ更新する。
- 更新後のバージョン、公開ページ、ログイン、フォーム、決済などを確認する。
- WAFがある場合も更新を延期せず、防御ルールと本体修正を併用する。
この記事は防御と更新判断のための解説です。 攻撃用リクエスト、SQL文、認証回避、コード実行の再現手順は掲載しません。脆弱性の検証は所有者の許可を得た隔離環境で行い、発見時はベンダーの責任ある開示手順を使います。
影響するバージョン
| 現在の系列 | 影響 | 更新先 |
|---|---|---|
| WordPress 7.0～7.0.1 | 2件の連鎖による重大な影響 | 7.0.2 |
| WordPress 6.9～6.9.4 | 2件の連鎖による重大な影響 | 6.9.5 |
| WordPress 6.8～6.8.5 | CVE-2026-60137の影響 | 6.8.6 |
| 6.8未満 | WordPress公式は今回の2件について影響なしと説明 | ただし通常の保守期限と他の脆弱性を確認 |
Patchstackは実際の悪用試行を観測し、CVE-2026-60137はCISAの既知悪用脆弱性として扱われています。 インターネット公開サイトは優先度を上げて対応してください。
更新と並行して確認する侵害の兆候
アカウント覚えのない管理者、メールアドレス変更、権限昇格、パスワード再設定。
コード覚えのないプラグイン・テーマ、最近変更されたPHP、アップロード領域の実行ファイル。
ログ不審なREST APIアクセス、管理画面ログイン、プラグイン追加、サーバーエラーや外部通信。
確認前にログを消したり、証拠となるファイルを上書きしたりしないでください。ホスティング事業者やセキュリティ担当へ連絡し、保存期間の短いアクセスログから保全します。
侵害が疑われる場合の順番
- サイトを隔離またはメンテナンス状態にし、外部への影響を止める。
- サーバー、アクセス、管理操作、WAFのログと不審ファイルを保全する。
- 既知の正常なバックアップから復旧し、修正版WordPressへ更新する。
- WordPress管理者、ホスティング、SSH/SFTP、データベース、APIキーを更新する。
- WordPressの認証用ソルトを更新し、既存セッションを無効化する。
- プラグイン・テーマ・コアを再点検し、不要な管理者とコードを削除する。
- 個人情報や顧客データへの影響を調査し、必要な報告・通知を行う。
感染が疑われるサイトで、更新だけして運用を再開しないでください。すでに作成された管理者やバックドアは、WordPress本体の更新だけでは消えません。
確認済み情報と未確認を分ける
| 項目 | 状態 | 根拠 |
|---|---|---|
| 修正版 | 確認済み | WordPress.orgの7.0.2リリース告知とバックポート情報 |
| 実悪用 | 観測報告あり | Patchstackのログ観測、CISA KEV情報 |
| すべてのサイトが侵害済み | 誤り | 影響バージョンであることと侵害済みであることは別 |
| 自動更新で全サイトが完了 | 保証なし | 各サイトで実バージョン確認が必要 |
確認した一次情報・警告
よくある質問
自動更新が有効なら何もしなくてよいですか？
いいえ。強制自動更新が有効化されていますが、失敗や対象外構成もあり得るため、実際のバージョンを確認します。
プラグインを使っていなくても影響しますか？
今回の問題はWordPress Coreです。影響バージョンの標準構成も更新対象です。
侵害の疑いがある場合、更新だけで十分ですか？
十分ではありません。隔離、証拠保全、管理者・プラグイン・ファイル・ログ確認、認証情報の更新、既知の正常バックアップからの復旧を検討します。