【重要】WordPress セキュリティアップデートに関するお知らせ（複数の脆弱性への対応）

WordPress本体（コア）において複数のセキュリティ脆弱性が公表されました。

今回の脆弱性は、前回（2026年7月）にご案内したCVE-2026-63030のような、第三者が認証なし外部から直接サイトを不正操作できる性質のものとは異なり、
投稿権限を持つWordPressユーザーの操作（悪意のあるスクリプトを含む投稿の作成・閲覧、細工されたリンクのクリック等）を経由して初めて影響が生じるものが中心です。
現時点で実際の攻撃が観測されているとの情報もないことから、緊急停止を伴う即時対応ではなく、まず本案内にて注意喚起を行い、アップデートは順次実施する方針といたします。

▪️本件の要点
- 実施内容：WordPressコアのセキュリティアップデート
- アップデート先：現行から差異の少ない同系列の最新版（機能変更を伴うメジャーアップは行いません）
  - 例）7.0系 → 7.0.3 ／ 6.9系 → 6.9.6 ／ 6.8系 → 6.8.7 ／ 6.7系 → 6.7.6
    （それ以前のバージョンにも順次対応版があります）
- お客様側のご対応：原則不要です（弊社にて順次実施いたします）
- 実施予定：2026年8月17日より順次
- 想定される影響：作業中に一時的な表示の不安定・短時間の接続断が生じる可能性があります

▪️背景・理由
今回のアップデートでは、以下のような複数の脆弱性が修正されています。
- 投稿・コメント編集画面等での格納型XSS（寄稿者以上の権限を持つユーザーが細工した内容を投稿することで発生し、管理者等がその投稿を閲覧した際に不正なスクリプトが実行される）
- ログイン画面における反射型XSS（管理者等が細工されたリンクを開いた場合に影響が生じる）
- その他、情報漏洩・権限昇格・CSS注入等

これらはいずれも、攻撃者が単独でインターネット経由からサイトを自動的に侵害できる性質のものではなく、サイト利用者側の何らかの操作を伴って初めて影響が生じます。
また現時点で、これらの脆弱性を悪用した実際の攻撃が確認されているという情報はありません。以上を踏まえ、前回のような即時の緊急対応ではなく、計画的な順次対応とさせていただきます。

▪️対象の脆弱性
- 修正内容：格納型XSS（複数箇所）、反射型XSS、情報漏洩、権限昇格、CSS注入、SSRF等、計12件
- 影響を受けるバージョン：WordPress 4.7〜7.0.2（該当する脆弱性の件数はバージョンにより異なります）
- 修正版：7.0.3（他のブランチも各セキュリティ版で対応済みです）

▪️実施内容と進め方
1. 対象サイトの状況を確認のうえ、実施順序・日程を確定
2. アップデート前にバックアップを取得（万一に備えた切り戻し用）
3. アップデートを適用
4. アップデート後の動作確認（表示・主要機能・管理画面）

▪️お客様へのお願い
- 実施時間帯のご希望や、特段のご事情（キャンペーン中等）がある場合は、ご連絡ください。可能な範囲で調整いたします。
- 現時点では緊急のご対応は不要です。詳細な実施日程は確定次第あらためてご案内いたします

▪️参考情報（公開情報）
- WordPress 公式リリース：https://wordpress.org/news/2026/08/wordpress-7-0-3-release/
- バージョン詳細：https://wordpress.org/documentation/wordpress-version/version-7-0-3/