2026年8月6日、WordPress本体に深刻な脆弱性（CVE-2026-64638）が公表され、
修正版が公開されました。危険度は10点満点中8.9と高いものです。

現時点で実際の被害報告はまだありませんが、攻撃に使えるコードがすでに公開されています。
早めのアップデートをおすすめします。

■ WordPress 公式のお知らせ（日本語）
https://ja.wordpress.org/2026/08/07/wordpress-7-0-3-release/

▼ どんな脆弱性か

CVE-2026-64638 は、WordPressのログイン画面にある不具合です。

管理者としてログインした状態で、攻撃者が用意した細工されたURLをうっかり開いてしまうと、条件次第でサーバー上に不正なプログラムを仕込まれ、サイトの改ざんや乗っ取りにつながる恐れがあります。

「メールやSNSで届いたリンクを、管理画面にログインしたまま開く」
——これが入口になります。

今回のリリースでは、この1件を含む複数の脆弱性が修正されています。

■ 技術的な詳細（開発元のセキュリティ情報・英語）
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-52p2-r8wf-jcrf

▼ ご自身のサイトの確認方法

WordPressの管理画面 →「ダッシュボード」→「更新」

ここで現在のバージョンと、更新できるバージョンが確認できます。
最新版は 7.0.3 です。

▼ ここが見落とされがちです

「うちは古いバージョンだから、最新版の話は関係ない」
——実はその逆です。

今回の修正は 4.7 以降のすべてのバージョン系列に提供されています。
6.5系なら6.5.9、5.2系なら5.2.25といった具合に、お使いの系列ごとに修正版が出ています。
最新版に上げなくても、同じ系列の修正版に上げれば対処できます。

一方で、4.6 以前をお使いの場合は事情が違います。
WordPressの開発元は2025年7月をもって4.6以前へのセキュリティ更新を終了しており、今回の修正版も提供されません。
つまり「更新しても直らない」状態です。

■ 4.1〜4.6 のセキュリティ更新終了に関する公式告知（英語）
https://make.wordpress.org/security/2025/06/18/security-updates-will-cease-for-wordpress-versions-4-1-through-4-6/

この場合は、サポート対象のバージョンへ移行する必要があります。
数世代分を一気に上げることになるため、プラグインやテーマがそのまま動かないことも多く、実質的な作り直しになるケースもあります。

もし作り直しに近い規模になるのであれば、この機会に別のCMSを検討するのも一つの考え方です。
弊社では国産CMSの「a-blog cms」もお取り扱いしています。
オープンソースではないため攻撃の標的になりにくく、日本語でのサポートが受けられる点を評価いただくことが多いCMSです。
https://www.zanmai.info/service/a-blog.html

もちろん、どのCMSでもアップデートは必要です。
「乗り換えれば安心」ではなく、「運用しやすい形にしておく」という視点でご検討ください。

▼ 更新する前に

WordPress本体を更新すると、お使いのプラグインやテーマとの相性で表示が崩れたり、機能が止まったりすることがあります。

・更新前に必ずバックアップを取る
・可能なら、複製サイトで先に試してから本番に反映する

この2点をおすすめします。

▼ 取り急ぎできること

1. 管理画面にログインしたまま、心当たりのないリンクを開かない
2. 作業が終わったら管理画面からログアウトする
3. 使っていない管理者アカウントを削除し、パスワードを見直す

弊社では、お客様のサイトについて全台の調査を行い、該当するお客様には個別にご連絡を差し上げております。

なお弊社は8月16日（日）まで夏季休暇をいただいております。
バージョンアップのご相談、CMS移行のご相談（有料・お見積もり）は8月17日（月）以降に承ります。

#WordPress #ablogcms #セキュリティ #ホームページ制作 #新潟

---