「WordPress 7.1.4」、RCEにつながる恐れのある脆弱性などを修正

WordPress 7.1.4、コア更新時のRCEにつながる問題など複数の脆弱性を修正

WordPressは2026年10月28日、セキュリティアップデートとなるバージョン7.1.4を公開し、複数の脆弱性を修正した。修正対象には、コアファイルの更新中にリモートコード実行（RCE）につながる可能性のある問題をはじめ、保存型クロスサイトスクリプティング（XSS）、非公開コンテンツの情報漏えい、権限チェックの不備などが含まれる。影響を受ける機能は、各種コンテンツブロック、管理画面、Customizer、Interactivity APIなど多岐にわたる。公開された公式資料では、個々の問題についてCVE番号やCVSSスコア、実際の攻撃で悪用された事例は示されていない。

Umut Bayramが報告した問題は、WordPressのコアをアップグレードする際に発生する競合状態に関連しており、更新処理中にRCEにつながる可能性がある。公開された説明だけでは、悪用に必要な権限やタイミング、サーバー環境などの具体的な条件は特定できない。そのため、更新リクエストやコアファイルの変更が記録されているだけで、攻撃が発生したと判断することはできない。一方、調査時には更新処理の前後に不審なプロセスが実行されていないか、想定外のコアファイル変更や管理者アカウントの作成が発生していないかを確認することが考えられる。この問題は、特定のサーバーやテーマ設定でページテンプレートを確認する際に発生する既存のパストラバーサルの問題とは区別する必要がある。

保存型XSSの修正対象には、ブロックの区切り文字に細工された空白文字を挿入することで発生する問題や、Interactivity APIのバインディングに「javascript:」URLや不正なイベントハンドラーを指定できる問題が含まれていた。Interactivity APIのコンテキスト名前空間におけるプロトタイプ汚染の問題も修正された。さらに、同APIのバインディングを通じて保存型XSSやサービス拒否につながる可能性のある問題にも対応している。

これらの問題の一部は、Contributor以上の権限を持つユーザーが作成したコンテンツを通じて、管理者やほかの利用者のブラウザーに影響を及ぼす可能性がある。そのため、セキュリティ担当者が不正利用を調査する際には、該当する権限を持つアカウントによる投稿の編集履歴と、関連する管理者セッションでの不審な動作を照合することが考えられる。ただし、公開資料には具体的な攻撃ペイロードや侵害指標は示されておらず、こうした動作が実際の攻撃で観測されたことを意味するものではない。

Interactivity APIに関連する修正には、Contributor以上の権限を持つユーザーがバインディングを通じて管理画面を読み込ませる問題も含まれている。また、Author以上の権限に関連するInteractivity Routerの保存型XSSは、アップロードされたテキストファイルの処理に影響するものだった。

このほか、Customizerの選択的リフレッシュ機能における保存型XSS、Categoriesブロックのフォーマット文字列を利用したXSS、Comments PaginationブロックとPost Navigation Linkブロックのラベルに関する保存型XSSも修正された。ImageブロックとPlaylistブロックでは、安全でない「preg_replace()」の置換処理に対する保護が強化された。投稿コンテンツが、同じ要素IDを利用してScript Moduleのデータを上書きできる問題にも対応している。

Anthropicが報告した問題には、個人情報の削除リクエスト画面でEditor以上の権限を持つユーザーが関与する保存型XSSと、マルチサイト環境のNetwork Users画面でユーザー名が適切にエスケープされない問題が含まれていた。これらは、ほかの保存型XSSと対象となる機能や発生条件が異なるため、同一の問題として扱うべきではない。

また、認証されていない訪問者が公開前のCustomizerの変更内容を確認できる情報漏えいの問題も修正された。コメントのモデレーション権限を持つカスタムロールのユーザーが、編集権限のない投稿に付随するメモを閲覧・編集・削除できる権限上の問題にも対応している。今回の更新には、eMudhraの証明書失効を受けた同梱ルート証明書の更新も含まれていた。

WordPressは、今回のセキュリティ修正を影響のある旧バージョンのブランチにもバックポートすると発表した。対象はWordPress 4.7系列までで、修正パッケージは準備が整い次第、順次提供されるとしている。7.0.8や6.9.11などの旧系列向け更新も公開されているが、各ブランチに適用される修正内容は個別に確認する必要がある。WordPressは、積極的なサポートの対象となるのは最新バージョンのみであることも改めて説明している。

サイト管理者は、WordPressの管理画面にある「更新」から最新版を適用するか、自動バックグラウンド更新が正常に完了しているかを確認できる。WordPressは今回のリリースについて、速やかな更新を推奨している。次のメジャーバージョンとなるWordPress 7.2は2026年12月8日に公開される予定だが、7.1.4で修正されたセキュリティ上の問題に対応するために、7.2の正式公開を待つ必要はない。

セキュリティ運用担当者が調査する場合には、コア更新時に発生した異常なプロセス実行やファイル変更と、投稿やブロックの編集後に生じる不審なブラウザー動作を区別する必要がある。サイト運営者は、インストール済みのバージョンと更新の完了状況を確認することが重要となる。今回の公式リリース資料には、特定の攻撃者のインフラ情報や、実際の悪用を裏付ける侵害指標は掲載されていない。そのため、現時点でこれらの問題を特定の攻撃キャンペーンと関連付ける根拠は確認できない。