このアップデートは単なる機能改善ではなく、サイトの乗っ取りやデータ漏洩につながる重大なセキュリティホールを塞ぐ「緊急対応必須」のリリースです。
Thank you for reading this post, don't forget to subscribe!本記事では、修正された12件の脆弱性をリスクの深刻度順にわかりやすく解説し、WordPress 6.9から4.6までの旧バージョンでどのように対応すればよいかを具体的に示します。サイト管理者はもちろん、複数人で運営するブログや会員制サイトの運営者は特にご注意ください。
🔥 重要度別 脆弱性解説（最も危険なものから順に）
レベル5：【最高警戒】事前認証（ログイン前）で悪用可能な致命的欠陥
- ログイン画面の反射型XSS → PHPコード実行の危険性（報告者：pwn.ai）
攻撃者は特別に細工したURLをユーザーに開かせるだけで、ログイン画面で不正なスクリプトを実行できます。最悪の場合、これを足がかりにサーバー上で任意のPHPコードを実行される可能性があり、サイトの完全な乗っ取りにつながります。ログインしていない状態でも攻撃可能な点が最大の脅威です。 - SSRF（サーバーサイドリクエストフォージェリ）による内部ネットワークへの不正アクセス（報告者：Andrew Mohawk 他）
WordPressのURL検証に不備があり、サーバー内部から通常はアクセスできないプライベートIPアドレスやクラウド環境のメタデータサービスへリクエストを送信できてしまいます。クラウド上で運用しているサイトは、内部情報の漏洩リスクが特に高まります。
レベル4：サイト構造を揺るがす権限昇格と認証バイパス
-
マルチサイト環境での権限昇格（報告者：Aikido Security）
ユーザー登録を有効にしているマルチサイトネットワークで、一般ユーザー権限しか持たないアカウントが新たなサイトを不正に作成できる問題が修正されました。複数のブログを運用している場合は最優先で確認すべき脆弱性です。 -
メールアドレス確認フローのバイパス（報告者：0ways）
ユーザー登録や重要な設定変更時に求められるメール確認プロセスをスキップできてしまう問題です。攻撃者が所有していないメールアドレスでアカウントを乗っ取るリスクを排除します。
レベル3：非公開情報が漏れる情報漏洩リスク
-
「最新のコメント」ブロックによるパスワード保護記事のコメント漏洩（報告者：Ehtisham Siddiqui）
パスワードで厳重に保護したはずの投稿に寄せられたコメントが、「最新のコメント」ブロックを通じて外部に表示されてしまう問題です。有料コンテンツや限定公開記事を運営しているサイトは深刻なダメージを受けます。 -
コメントフィードへの内部メモ漏洩（報告者：Elio Gubser）
RSSなどのコメントフィードに、管理者が内部で使用する「メモ」情報が誤って含まれてしまう脆弱性です。サイトの運用ノウハウやバックストーリーが流出する可能性があります。 -
投稿スラッグ（URLの識別子）の列挙リスク（報告者：HDWSec）
攻撃者が公開前の下書き記事や非公開記事のスラッグを推測・列挙できてしまう問題です。まだ公開すべきでないコンテンツの存在を外部に把握されるリスクが低下します。
レベル2：内部ユーザーによる不正操作（Contributor/Author権限以上）
サイトにログインできるユーザー（特に寄稿者や投稿者）が悪用可能な脆弱性です。複数人で運営するサイトや会員制サイトでは特に注意が必要です。
- 絵文字設定要素を介した蓄積型XSS（報告者：Asaf Mozes）
- 投稿日付ブロックの蓄積型XSS（報告者：Alex Concha）
- 投稿本文ブロックの蓄積型XSS（報告者：n05ec）
- クイック編集機能の蓄積型XSS（報告者：Naveen S / Ajmal Moochingal）
- 安全なCSSフィルターを迂回したCSSインジェクション（報告者：Anthropic）
これらはブロックエディターや管理画面の各機能に潜むXSS（クロスサイトスクリプティング）やCSS注入の脆弱性です。権限を持つユーザーが悪意あるコードを埋め込むと、サイト訪問者のブラウザで不正なスクリプトが実行されたり、ページ表示が改ざんされたりします。
🛡️ アップデート後の「安全なサイト運用」チェックリスト
アップデートを適用するだけでは万全とは言えません。以下の項目をこの機会に再確認し、サイトの防御力を高めましょう。
1. 即時実行：コア・プラグイン・テーマの最終確認
- WordPress本体が最新版（7.0.3、または該当ブランチの最新版）になっているか。
- 更新通知のあるプラグインやテーマを全て最新化したか。
- 使っていないプラグインやデフォルトテーマは完全に削除したか。
2. アカウント管理の鉄則（最小権限の原則）
- 管理者ユーザー名が「admin」や推測されやすいものになっていないか。
- 全ユーザーが16文字以上の強固なパスワードを使用しているか。
- 記事の投稿のみを行うユーザーに「管理者」権限が与えられていないか（寄稿者・投稿者権限に制限する）。
- 2要素認証（2FA）を有効化しているか。
3. バックアップとサーバー設定の再確認
- データベースとファイルが自動・定期的にバックアップされ、外部ストレージに保存されているか。
-
wp-config.phpのデバッグモード（WP_DEBUG）が本番環境で無効（false） になっているか。 - 常時SSL（HTTPS）通信が強制されているか。
- サーバーのPHPバージョンがサポート期限内（PHP 8.0以上推奨）か。
4. 防御の最終ライン（WAF・監視）
- ログイン試行回数制限（ブルートフォース対策）が有効か。
- Web Application Firewall（WAF）が正しく稼働しているか（Wordfenceなどのセキュリティプラグインを含む）。
📌 旧バージョン（6.9 ～ 4.6）への対応と補足
WordPressプロジェクトは「Courtesy Backports（礼儀としてのバックポート）」というポリシーを採用しており、今回の重要なセキュリティ修正は最新の7.0.3だけでなく、広範な旧バージョンにも提供されています。
自動更新が有効な環境では、メジャーバージョンを固定していても、各ブランチ（例：6.x系）の最新マイナーアップデートが自動適用されます。
手動更新のサイトは、以下のバージョン一覧を参考に、あなたが利用中のブランチの最新版へ直ちに更新してください。
| メジャーブランチ | 修正版の例 |
|---|---|
| 6.9 ～ 6.0 系 | 6.9.3, 6.8.3, … 6.0.7 |
| 5.9 ～ 5.0 系 | 5.9.9, 5.8.9, … 5.0.20 |
| 4.9 ～ 4.6 系 | 4.9.25, 4.8.24, … 4.6.29 |
重要な補足： 旧ブランチでは、ブロックエディター関連のXSSやSSRF、権限昇格など、WordPressのコアシステムに関わる脆弱性が主にバックポートされます。
