7月17日の「wp2shell」、8月6日の「XSS2Shell」、そして8月12日の今回——WordPress 7.0系は、約1ヶ月で3回の緊急セキュリティパッチを受け取ることになりました。最新の「WordPress 7.0.4」に含まれるのは、Imagick・Ghostscriptを使うサイトで、Author以上の権限を持つ認証済みユーザーが、悪意あるファイルをアップロードすることでサーバー上でコードを実行できてしまう脆弱性（CVE-2026-65640）です。前の2件ほど「誰でも攻撃できる」というわけではありませんが、マルチユーザー運用のサイトや画像処理を多用するサイトは要注意です。
何が修正されたのか
今回のCVE-2026-65640は、WordPressが画像処理に使うライブラリ「Imagick」と「Ghostscript」を両方使っているサイトで成立する脆弱性です。通常、WordPressはアップロードされたファイルの種類を確認し、危険なファイル形式をブロックする仕組みを持っています。しかし今回見つかった問題では、Imagick・Ghostscriptが処理できる特定のファイル形式を組み合わせることで、このフィルタリングをすり抜けて悪意あるコードを含むファイルをアップロードし、サーバー上で実行させることができてしまいます。
攻撃が成立するには「Author以上の権限を持つ、ログイン済みのユーザー」という条件が必要です。Authorとは、WordPressの標準的な権限レベルの1つで、記事を投稿・公開できる権限です。匿名のアクセスからは攻撃できません。この点が、wp2shell（認証不要）・XSS2Shell（認証不要）と根本的に異なります。ただし、複数人が記事を投稿するブログ・ECサイトのスタッフアカウント・クライアントに編集権限を渡しているサイトなど、「外部の人間がAuthor権限を持っている」環境では、不満を持つ内部者や、アカウントを乗っ取られた場合の二次攻撃として機能します。
wp2shell・XSS2Shellとの違い——3件を比べると見えてくること
今年7〜8月に立て続けに出たWordPress 7.0系のセキュリティパッチ3件を比べると、攻撃の前提条件がそれぞれ異なることが分かります。
3件とも発見したのは同じpwn.aiチームです。同チームが集中的にWordPress 7.0系をレビューした結果として、短期間に複数の問題が修正された形と見られます。これは、組織的なセキュリティ監査が機能している証とも言えますが、逆に「まだ見つかっていない問題がある可能性」を意識しておく必要もあります。
今回の脆弱性は「外部の無名の攻撃者には使えない」という意味では条件が限定的です。しかし「誰かにAuthor権限のアカウントを渡している」「フリーランスのライターや外注スタッフがいる」「クライアントが自分でブログを更新している」というサイトでは、その人物のアカウントが乗っ取られた場合の二次被害として機能し得ます。権限を誰にどこまで渡しているかの棚卸しと、最小権限の原則（必要以上の権限を与えない）を意識しておくことが、こうした脆弱性への備えにもなります。
自分のサイトが対象かどうかの確認
今回の脆弱性が成立する条件は2つです。1つ目が「Imagick」、2つ目が「Ghostscript」の両方を使っているサイトです。Imagickは、サーバー側での高品質な画像処理に使われる拡張機能で、WordPressのサムネイル生成などに使われることがあります。Ghostscriptは、PDFや PostScriptファイルの処理に使われるツールです。多くの一般的なWordPressサイトではこの組み合わせを使っておらず、その場合は今回の脆弱性は該当しません。ただし、いずれにせよ7.0.4へのアップデート自体は推奨されます。
WordPressサイトの継続的な保守体制を整える
wp2shell・XSS2Shell・今回のCVE-2026-65640と、短期間で重大なセキュリティパッチが続いています。自動更新の確認・権限の棚卸し・サーバー設定の点検まで、継続的な保守体制をサポートします。「次のパッチが来るたびに慌てたくない」という方は、お気軽にご相談ください。島根県から全国対応です。
まとめ
WordPressサイトの保守・セキュリティ体制のご相談はお気軽にどうぞ。
WordPressセキュリティのご相談はこちら
無料相談する →