最終更新：10 月 28 日 00:44（日本時間）
随時更新：新しい脆弱性の公表や WordPress のセキュリティリリースが出たら、表に行を足します。
すぐ見る：よくある疑問 ／ 3 分で確かめる手順 ／ 本体の一覧 ／ プラグイン・テーマの一覧 ／ 立場別にやること ／ 技術的な詳細
ひとことで言うと
WordPress の脆弱性の最新情報（2026 年 8 月 1 日〜10 月 28 日）
- WordPress 本体は、8 月から 10 月にかけて、弱点（脆弱性）の直しを含む更新のお知らせが 5 回出た。いまの最新版は 7.1.4
- プラグインでは、SiteGuard WP Plugin・MW WP Form・Contact Form 7 の追加機能・Elementor・WooCommerce・UpdraftPlus など、日本でもよく使われるものに直しが出た。ログインしなくても外から悪用できるものもある
- 自分のサイトが当てはまるかは、管理画面の「更新」と「プラグイン」の画面で版を見て、下の表の「修正版」と比べれば分かる
どうすればいい？
よくある疑問と答え
-
WordPress の最新バージョンは？
いまは 7.1.4 です（WordPress.org の更新情報を 1 日 2 回自動で確かめています）。
→ 本体のセキュリティリリースの一覧 -
自分のサイトは当てはまる？
管理画面で WordPress とプラグイン・テーマの版を見て、表の「修正版」より古いものがあれば当てはまります。
→ 3 分で確かめる手順 -
いちばん急ぐのはどれ？
ログインしなくても、外からプログラムを実行されたりファイルを書き込まれたりするものです。SEO のプラグイン Rank Math SEO PRO（有料版）の 3.0.123 は、配られたファイルそのものに悪いプログラムが混ざっていました。
→ 急ぐ順の早見表 -
自動更新にしていれば大丈夫？
本体の小さな更新は多くのサイトで自動で入りますが、7.0 から 7.1 のような大きな更新は手で行います。プラグインとテーマの自動更新は、1 つずつオンにしたものだけが対象です。
→ 立場別にやること -
JVN で WordPress の脆弱性を探せない？
日本の脆弱性の情報の窓口である JVN の公表（JVN#・JVNVU#）には、この期間に WordPress のプラグイン・テーマの件は見当たりませんでした。
→ この一覧の作り方
詳しくは：プラグイン・テーマの一覧 ／ 技術的な詳細
この記事では、WordPress.org のお知らせ、プラグイン・テーマの開発元の変更履歴とお知らせ、CVE レコード（cve.org）、JVN の公表だけをもとに、2026 年 8 月 1 日から 10 月 28 日までに公表された WordPress の脆弱性の最新情報を一覧にします。本体のセキュリティリリースはすべて、プラグイン・テーマは日本でよく使われるものを中心に載せ、自分のサイトが当てはまるかの確かめ方と、立場別にやることを添えます。
自分のサイトが当てはまるかを 3 分で確かめる手順
一覧を読む前に、自分のサイトの版を手元に控えておくと、表と突き合わせるだけで済みます。WordPress の管理画面にログインして、次の順に見ます（この記事での整理。画面の名前は WordPress.org の説明にもとづく）。
- 「ダッシュボード」→「更新」を開く。WordPress 本体の版と、更新が出ているプラグイン・テーマが一覧で出る。本体が 7.1.4 でなければ、更新が要る。古い系列のまま使っているなら、その系列の最新か（系列ごとの最新版は 「WordPress の最新バージョン」）を確かめる
- 「プラグイン」→「インストール済みプラグイン」を開き、下の表に載っている名前のプラグインがあるか、各行の「バージョン」の数字を見る。新しいバージョンがあるという表示が出ていれば、更新が届いている
- 「外観」→「テーマ」で、使っているテーマの版を見る（子テーマを使っているときは、親テーマの版を見る）
- 控えた版を、表の「修正版」と比べる。修正版と同じか新しければ、その行は当てはまらない。古ければ、バックアップを取ってから更新する
- 有料版（Rank Math SEO PRO・Yoast SEO Premium・Elementor Pro など）は、無料版とは別に版を見る。開発元のアカウントから新しい版を入手するよう案内しているものもある
表に載っていないプラグインでも、安全とは限りません。この一覧は、よく使われるものを中心に選んでいます。更新が出ているものは、表にあるかどうかに関係なく、まとめて上げておくのが確実です。
更新の前のバックアップ、更新で表示が崩れたときの戻し方、使っていないプラグインの消し方は、「WordPress のプラグインの脆弱性の確かめ方と対処」 と 「バックアップの取り方と戻し方」 にまとめています。
WordPress 本体の脆弱性の一覧（セキュリティリリース・2026 年 8 月以降）
WordPress.org がセキュリティの修正を含むとして出した更新を、すべて並べています。どの更新も、WordPress.org はすぐに更新するよう勧めています。直しは古い系列（4.7 系まで）にも移していますが、WordPress.org によると、きちんと保守しているのはいちばん新しい版だけです。
| 公表日 | 対象 | 影響する版と修正版 | 内容・種類・深刻度・出典 |
|---|---|---|---|
| 10 月 6 日 | WordPress 本体 7.1.3 |
影響：7.1.3 より前 修正：7.1.3（古い系列へも順に移植） |
コメント管理画面のスクリプト埋め込み、エクスポート機能の SQL インジェクション、非公開の投稿のコメントがログインなしで見える問題など 7 項目を修正 XSS・SQL インジェクション・情報の漏えいなど 深刻度（CVSS）：出典に記載なし 出典：WordPress.org |
| 9 月 22 日 | WordPress 本体 7.1.2 |
影響：4.7.0〜7.1.1（系列ごとの範囲は勧告のとおり） 修正：7.1.2（7.0.6・6.9.9 など 4.7.37 までの各系列） |
ログインなしで、テーマの外にある PHP ファイルをページのテンプレートとして読み込ませられる。サーバーとテーマの条件がそろうと外からプログラムを実行される。米国 CISA が悪用を確認した脆弱性の一覧に追加（9 月 25 日） パストラバーサル → リモートコード実行 深刻度（CVSS）：9.2（緊急・CVSS v4） 出典：WordPress.org ／ CVE-2026-87902 ／ 開発元の勧告 |
| 9 月 17 日 | WordPress 本体 7.1.1 |
影響：7.1.1 より前 修正：7.1.1（古い系列へも順に移植） |
ログインしていない訪問者がコメント経由でスクリプトを埋め込める問題（承認が条件）、テンプレートの REST API のパストラバーサル、寄稿者が他人の投稿を上書きできる問題など 11 項目を修正 XSS・パストラバーサル・権限の不備など 深刻度（CVSS）：出典に記載なし 出典：WordPress.org |
| 8 月 12 日 | WordPress 本体 7.0.4 |
影響：7.0.4 より前のすべての版 修正：7.0.4（4.7 系まで移植・7.1 RC3 にも反映） |
サーバーで Imagick と Ghostscript を使っているサイトで、投稿者以上の権限のユーザーが細工したファイルをアップロードすると、プログラムを実行できる 危険なファイルのアップロード → リモートコード実行 深刻度（CVSS）：8.8（重要・CVSS 3.0） 出典：WordPress.org ／ CVE-2026-65640 |
| 8 月 6 日 | WordPress 本体 7.0.3 |
影響：7.0.3 より前のすべての版 修正：7.0.3（4.7 系まで移植・7.1 RC2 にも反映） |
ログイン画面にスクリプトを埋め込まれる問題（細工したサイトを開かせて操作させる条件で、PHP のコードの実行につながるおそれ）、寄稿者以上による XSS、マルチサイトの権限昇格など 12 項目を修正 XSS・権限昇格・SSRF など 深刻度（CVSS）：8.9（重要・CVSS v4・ログイン画面の XSS） 出典：WordPress.org ／ CVE-2026-64638 |
10 月 21 日には、WordPress.org が PHP の重大な脆弱性についても知らせています。これは WordPress ではなく、サーバーで動く PHP の弱点で、WordPress の更新は出ていません。 経緯とサーバー会社の対応は 「PHP の重大な脆弱性」 にあります。7 月の wp2shell（7.0.2 で修正）は 「WordPress の脆弱性 wp2shell」 にまとめています。
プラグイン・テーマの脆弱性の一覧（2026 年 8 月以降）
日本でもよく使われるプラグイン・テーマのうち、この期間に CVE の番号が付いて公表されたものを選んでいます。公表日は CVE レコードの公開日で、修正版はそれより前に出ていることがあります。修正版は、CVE レコードと、WordPress.org のプラグインのページ・開発元の変更履歴で確かめたものです。
| 公表日 | 対象 | 影響する版と修正版 | 内容・種類・深刻度・出典 |
|---|---|---|---|
| 10 月 23 日 | LiteSpeed Cache |
影響：7.9.2 より前 修正：7.9.2 |
CDN のインライン CSS の書き換えをオンにしていると、公開されたコメントの投稿者名からスクリプトを埋め込まれ、管理者を含む訪問者のブラウザで動く XSS（ログイン不要） 深刻度（CVSS）：7.5（重要） 出典：CVE-2026-113499 ／ 変更履歴 |
| 10 月 21 日 | Elementor |
影響：4.3.5 より前 修正：4.3.5 |
SVG ファイルの文字の部分を検査しておらず、寄稿者以上がページに埋め込んだ SVG から、閲覧した人のブラウザでスクリプトが動く（Chromium 系のブラウザ） XSS 深刻度（CVSS）：6.8（警告） 出典：CVE-2026-81813 ／ 変更履歴 |
| 10 月 19 日 | Rank Math SEO PRO（有料版） |
影響：3.0.123 の一部（10 月 15 日 20:02〜16 日 7:12 UTC に入手したもの） 修正：3.0.124 |
配布された更新ファイルにマルウェアが混入。有効化したサイトは乗っ取られたものとして扱い、復旧の手順を踏むよう開発元が案内している 悪意のあるコードの混入（配布元の侵害） 深刻度（CVSS）：9.8（緊急） 出典：Rank Math ／ CVE-2026-111862 |
| 10 月 15 日 | VK Blocks |
影響：1.126.1 以前 修正：1.126.2 |
「投稿へのリンク」の機能で属性がエスケープされず、寄稿者以上がページにスクリプトを埋め込める XSS 深刻度（CVSS）：6.4（警告） 出典：CVE-2026-78087 ／ 変更履歴 |
| 10 月 10 日 | WooCommerce |
影響：9.8.0〜11.1.2 修正：11.2.0 |
ショップマネージャー以上の権限のユーザーが、本来より強い権限を得られる 権限昇格 深刻度（CVSS）：7.2（重要） 出典：CVE-2026-106608 |
| 10 月 9 日 | Jetpack |
影響：16.2 以前 修正：16.3 |
パスワードの回復にかかわる処理で、本来の認証を別の経路から回避できる 認証の回避 深刻度（CVSS）：5.4（警告） 出典：CVE-2026-106601 |
| 10 月 8 日 | BackWPup |
影響：5.7.7 より前 修正：5.7.7 |
NGINX など .htaccess が効かないサーバーで、途中で止まった復元の作業フォルダから、データベースや鍵を含むバックアップ一式をログインなしで取られる 情報の漏えい 深刻度（CVSS）：5.9（警告） 出典：CVE-2026-86826 ／ 変更履歴 |
| 10 月 2 日 | MW WP Form |
影響：5.1.7 以前 修正：5.1.8 |
フォームの送信で渡す値（post_id）から、ログインなしでスクリプトを保存され、そのページを開いた人のブラウザで動く XSS（ログイン不要） 深刻度（CVSS）：7.2（重要） 出典：CVE-2026-96567 ／ 変更履歴 |
| 10 月 2 日 | All in One SEO |
影響：5.0.2.1 より前 修正：5.0.2.1 |
検索の語に含めたショートコードを取り除く判定に誤りがあり、ログインなしでサイトのショートコードを実行される。古い版から上げたサイトでは保護が働いていなかった ショートコードの不正な実行（ログイン不要） 深刻度（CVSS）：6.5（警告） 出典：CVE-2026-19856 ／ 変更履歴 |
| 9 月 30 日 | Astra（テーマ） |
影響：4.13.12 以前 修正：4.14.0 |
ショップマネージャーの権限で、ページに HTML を差し込める コンテンツの差し込み（XSS） 深刻度（CVSS）：2.7（注意） 出典：CVE-2026-27085 |
| 9 月 27 日 | UpdraftPlus |
影響：1.23.8〜1.26.7（有料版は 2.23.8〜2.26.8.26 より前） 修正：1.26.8（有料版は 2.26.8.26） |
移行のあと特定の状態のまま残ったサイトで、購読者などログインできる人ならだれでも、バックアップの保存先のパスワードや鍵を見られる 情報の漏えい（権限チェックの不備） 深刻度（CVSS）：5.3（警告） 出典：CVE-2026-82841 ／ 変更履歴 |
| 9 月 18 日 | VK All in One Expansion Unit |
影響：9.118.0 以前 修正：9.119.0 |
CTA（申込みなどへ誘う枠）の画像の位置の欄から、寄稿者以上がスクリプトを保存でき、そのページを開いた人のブラウザで動く XSS 深刻度（CVSS）：6.4（警告） 出典：CVE-2026-17586 ／ 変更履歴 |
| 9 月 13 日 | Really Simple Security |
影響：9.5.10.1〜9.8.0 修正：9.8.1 |
メールでの 2 段階認証の設定を、ログインなしの要求で初期化できる。パスワードを知っている攻撃者は 2 段階認証を飛ばして、管理者などとしてログインできる 認証の回避（2 段階認証） 深刻度（CVSS）：7.5（重要） 出典：CVE-2026-89080 ／ 変更履歴 |
| 9 月 11 日 | Site Kit by Google |
影響：1.186.0 以前 修正：1.187.0 |
管理画面にログインしている人に細工したページを開かせると、意図しない操作をさせられる CSRF 深刻度（CVSS）：4.3（警告） 出典：CVE-2026-62139 |
| 9 月 7 日 | Flamingo |
影響：2.6.2 以前 修正：2.6.3 |
Contact Form 7 の問い合わせを保存するプラグイン。寄稿者以上が、WordPress の標準の仕組み（XML-RPC など）から、フォームの名前から作られた分類や受信の数を見られる 情報の漏えい（権限チェックの不備） 深刻度（CVSS）：5.4（警告） 出典：CVE-2026-12853 ／ 変更履歴 |
| 9 月 4 日 | WooCommerce |
影響：11.0 より前 修正：11.0 |
データベースへの命令を差し込める。CVSS の評価では高い権限が必要 SQL インジェクション 深刻度（CVSS）：7.6（重要） 出典：CVE-2026-57777 |
| 9 月 2 日 | Yoast SEO Premium（有料版） |
影響：27.6.1 より前 修正：27.6.1（2026 年 5 月に公開） |
Apache のサーバーでリダイレクトを .htaccess に書き込む設定にしていると、投稿者以上が .htaccess に設定を差し込め、最悪の場合プログラムを実行される。初期設定（PHP でのリダイレクト）なら影響しない 設定の差し込み（インジェクション） → リモートコード実行 深刻度（CVSS）：6.6（警告） 出典：Yoast ／ CVE-2026-10821 |
| 8 月 27 日 | UpdraftPlus |
影響：1.26.7 より前 修正：1.26.7 |
ログイン中の管理者に細工したリンクを開かせると、既存のバックアップに戻され、サイトが前の状態に巻き戻される CSRF 深刻度（CVSS）：5.9（警告） 出典：CVE-2026-76549 ／ 変更履歴 |
| 8 月 25 日 | All-in-One WP Migration and Backup |
影響：7.109 以前 修正：7.109 より新しい版（番号は公式の記載で確かめる） |
バックアップの復元の処理で、ログインなしで SQL インジェクションができる。管理者が復元をすると秘密の鍵を取られ、プログラムの実行につながる SQL インジェクション → リモートコード実行 深刻度（CVSS）：8.8（重要） 出典：CVE-2026-19949 ／ 変更履歴 |
| 8 月 21 日 | Drag and Drop Multiple File Upload for Contact Form 7 |
影響：1.3.9.9 より前 修正：1.3.9.9 |
ファイル名の検査をすり抜けて、ログインなしで危険なファイルを置かれ、サーバーでプログラムを実行される ファイルの種類の制限の回避 → リモートコード実行 深刻度（CVSS）：8.1（重要） 出典：CVE-2026-18781 ／ 変更履歴 |
| 8 月 19 日 | W3 Total Cache |
影響：2.10.5 より前 修正：2.10.5 |
キャッシュのファイル名の作り方に不備があり、ログインなしでサーバーの好きなフォルダにファイルを書き込まれる。Apache では .htaccess を上書きされ、サイトが壊れたり守りの設定が消えたりする パストラバーサル（ファイルの書き込み） 深刻度（CVSS）：10.0（緊急） 出典：CVE-2026-18051 ／ 変更履歴 |
| 8 月 19 日 | Broken Link Checker |
影響：2.4.12 より前 修正：2.4.12 |
パーマリンクを「基本」にしているサイトで、ログインなしで PHP の変数を書き換えられ、条件がそろうとサーバーでプログラムを実行される コードインジェクション → リモートコード実行 深刻度（CVSS）：9.0（緊急） 出典：CVE-2026-18937 ／ 変更履歴 |
| 8 月 19 日 | Elementor Pro（有料版） |
影響：4.2.1 以前 修正：4.2.2 |
危険な種類のファイルをアップロードできる。CVSS の評価ではログインは要らない 危険なファイルのアップロード 深刻度（CVSS）：9.0（緊急） 出典：CVE-2026-32475 |
| 8 月 6 日 | SiteGuard WP Plugin |
影響：1.8.6 以前 修正：1.8.7 |
ログインページの URL を変えている場合に、ログアウトの URL でスクリプトを埋め込まれる XSS（ログイン不要） 深刻度（CVSS）：7.1（重要） 出典：CVE-2026-61982 ／ 変更履歴 |
深刻度の数字は CVSS（脆弱性の深刻さを 0〜10 で表す共通の物差し）の基本値で、括弧の語は IPA の区分（9.0 以上が緊急、7.0〜8.9 が重要、4.0〜6.9 が警告、0.1〜3.9 が注意）です。同じ数字でも、ログインが要るか、特定の設定のときだけかで、自社にとっての急ぎ方は変わります。
Contact Form 7 の本体、Yoast SEO（無料版）、XO Security、Akismet、Snow Monkey については、公開された CVE を名前で探した範囲では、この期間に番号が付いた脆弱性は見当たりませんでした（10 月 28 日に確認）。XO Security は、この期間より前に出た 3.11.0 で、2 段階認証を回避できる弱点を直したと変更履歴に書いています。
脆弱性とは別に、10 月には UpdraftPlus の運営元が不正アクセスを受けたと公表しています（UpdraftPlus の運営元への不正アクセス）。サーバーに入れる守りのソフト SiteGuard Server Edition の脆弱性は 「SiteGuard Server Edition の脆弱性」 にあり、上の表の SiteGuard WP Plugin とは別の製品です。
急ぐ順の早見表（この記事での整理）
上の 2 つの表を、悪用の条件（ログインが要るか・何ができるか）で 3 つに分けました。当てはまる行が見つかったら、上の段から片付けます。どの段でも、更新を後回しにしてよいという意味ではありません。
| 急ぐ順 | 当てはまる行 | 理由とやること |
|---|---|---|
| すぐに（見つけたその日） | 本体 7.1.2 より前、W3 Total Cache、Broken Link Checker、Drag and Drop Multiple File Upload for Contact Form 7、All-in-One WP Migration and Backup、Elementor Pro、Rank Math SEO PRO 3.0.123 | ログインしなくても、外からプログラムを実行されたり、ファイルを書き込まれたりするおそれがある。本体 7.1.2 の件は、米国 CISA が悪用を確認した脆弱性の一覧に載せている。Rank Math SEO PRO の 3.0.123 を有効にしたサイトは、更新だけでなく、乗っ取られた前提での復旧が要る |
| 早めに（その週のうち） | LiteSpeed Cache、MW WP Form、SiteGuard WP Plugin、All in One SEO、Really Simple Security、Jetpack、BackWPup、本体 7.0.3 より前 | ログインしなくても、ページにスクリプトを埋め込まれたり、2 段階認証やパスワードの回復の仕組みをすり抜けられたり、バックアップを取られたりするおそれがある。設定によっては当てはまらないものもあるが、確かめる手間より更新のほうが早い |
| 計画して（次の更新の日に） | Elementor、VK Blocks、VK All in One Expansion Unit、Flamingo、Yoast SEO Premium、WooCommerce、UpdraftPlus、Site Kit by Google、Astra、本体 7.0.4・7.1.1・7.1.3 より前 | 寄稿者・投稿者・ショップマネージャーなど、管理画面に入れる人の権限が要るものや、細工したリンクを管理者に開かせる必要があるもの。管理画面に入れる人を自社の人だけに絞っていれば悪用されにくいが、ユーザーの一覧も見直す |
立場別にやること
サイトの持ち主と、保守を預かる制作会社・担当者とで、確かめることを分けました（この記事での整理）。チェックの欄として使えます。
サイトの持ち主（自社で WordPress を持っている会社）
- 管理画面の「ダッシュボード」→「更新」を開き、本体が 7.1.4 になっているかを見た
- この記事の表に載っているプラグイン・テーマを入れているかと、その版を見た
- 「ユーザー」の一覧で、知らない人・辞めた人・使っていない投稿者のアカウントを消すか、権限を下げた（寄稿者・投稿者以上の権限が悪用の条件になっている行が多いため）
- プラグインとテーマのうち、どれを自動更新にしているかを、制作会社・保守の担当と決めた
- 保守を頼んでいるなら、更新したもの・日付・残っている課題を知らせてもらう約束をした
制作会社・保守の担当
- 預かっているサイトごとに、本体・プラグイン・テーマの名前と版を書き出し、表の行と突き合わせた
- 7.0 系のままのサイトを 7.1 系に上げる予定を立てた（本体の大きな版は、自動では上がらない）
- Rank Math SEO PRO を使っているサイトで、10 月 15〜16 日（UTC）に 3.0.123 を入れていないか、入れたなら有効にしたかを確かめた
- 有料版のプラグインが、開発元の配布で新しい版を受け取れているかを確かめた
- 自動更新が止まっていないかを、「ツール」→「サイトヘルス」のエラーと、自動更新の結果のメールで確かめた
- お客様に、更新した内容と、条件つきで当てはまる行（設定によって影響するもの）の扱いを知らせた
次に読む：保守を頼むときに決めておくこと ／ WordPress は危険か・脆弱性が多いと言われる理由と、ほかの CMS との比較
技術的な詳細（サイトの管理・保守の担当者向け）
開発元の勧告と CVE レコードに書かれた、影響の条件・CVSS・修正版です。攻撃の手順は書いていません。
- CVE-2026-87902（WordPress 7.1.2 で修正） get_page_template() のテンプレートの解決で、ログインなしの攻撃者が、有効なテーマのディレクトリの外にある読み取り可能なローカルの .php ファイルを読み込ませられる（パストラバーサル）。開発元の勧告の CVSS v4 は 9.2（Critical）、CVE レコードにある米国 CISA の CVSS 3.1 は 8.1。リモートコード実行に至る条件は、有効な親テーマ・子テーマの直下に page- で始まるディレクトリがあること（Twenty Twelve・Twenty Fourteen と、Neve・Hestia・Sydney など）と、Web サーバーのアカウントで読めるローカルの .php ファイルがあること。勧告は、register_argc_argv が On のときの pearcmd.php の例を挙げ、PHP の公式の Docker イメージと、PHP 8.5 より前を使う cPanel の初期設定が当てはまるとしている。修正版は 7.1.2・7.0.6・6.9.9・6.8.10 から 4.7.37 までの各系列。CISA は 9 月 25 日に、悪用が確認された脆弱性の一覧（KEV）に加えた
- CVE-2026-65640（WordPress 7.0.4 で修正） 細工した PostScript ファイルのアップロードによるリモートコード実行。前提は、サーバーで Imagick と Ghostscript を使っていることと、upload_files の権限（投稿者以上）を持つ悪意のあるユーザーがいること。CVSS 3.0 は 8.8。すべての版が影響を受け、直しは 4.7 系まで移されている
- CVE-2026-64638（WordPress 7.0.3 で修正） ログイン画面の、認証の前に起きる反射型 XSS。攻撃者の用意した外部のサイトを使うと、攻撃者が操れない条件のもとで RCE に広げられる可能性があるが、狙われた人をだまし、明示的に操作させる必要がある。CVSS v4 は 8.9。7.0.3 では、このほかに寄稿者以上による保存型 XSS、ユーザー登録を許すマルチサイトでの権限昇格、リンクローカルのアドレスへの SSRF なども直された
- 7.1.1 と 7.1.3（CVE の番号は公式の発表に書かれていない） 7.1.1 は 11 項目で、wpautop() の保存型 XSS（ログインなし・コメントの承認が条件）、REST のテンプレートのコントローラーの認証つきパストラバーサル、寄稿者以上による任意の投稿の上書き、XML-RPC から customize_changeset を公開して edit_css の確認をすり抜ける問題など。7.1.3 は 7 項目で、保留中のコメントから起きるコメント管理画面の保存型 XSS、WXR エクスポートの二次的な SQL インジェクション、WP_Http::make_absolute_url() のサービス妨害（DoS）、非公開・未公開の投稿のコメントの認証なしの開示など
- Rank Math SEO PRO 3.0.123（CVE-2026-111862） 開発元の案内をまとめます。Rank Math によると、2026 年 10 月 15 日 20:02〜16 日 7:12（UTC）に 3.0.123 をダウンロードした一部の利用者のファイルにマルウェアが含まれていた。有効にしたサイトは乗っ取られたものとして扱い、10 月 15 日 20:02（UTC）より前のバックアップから戻すのを第一の方法としている。戻せないときは、開発元の手順の順番どおりに、再生成の仕組みを止めてから不審なファイルを消す。サイトから読めた認証情報（WordPress のアカウント・データベース・API キーなど）は漏れたものとして変え、最後に 3.0.124 を入れる。インストールしたが有効にしていないときは、ファイルを消して 3.0.124 を入れ、念のため検査する
- 設定によって影響が変わるもの Yoast SEO Premium（CVE-2026-10821）は、Apache でリダイレクトの方式を .htaccess に変えている場合だけで、初期設定の PHP のリダイレクトなら影響しないと Yoast は説明している（設定は管理画面の wpseo_redirects の「redirect-method」で見られる）。BackWPup（CVE-2026-86826）は、NGINX など .htaccess を読まないサーバーで、途中で止まった復元の作業フォルダが残っている場合。5.7.7 は作業フォルダの名前を推測できないものにし、残ったファイルを自動で消すようにした。Broken Link Checker（CVE-2026-18937）は、パーマリンクが基本（plain）のサイト。LiteSpeed Cache（CVE-2026-113499）は、該当する最適化の設定をオンにしている間。All in One SEO（CVE-2026-19856）は、古い版から上げたサイトでは保護がもともと無効になっていたとされる
- ログに残りやすい点（この記事での整理） ファイルの書き込み・アップロード・コードの実行に至るもの（W3 Total Cache・Drag and Drop Multiple File Upload for Contact Form 7・Broken Link Checker・本体 7.1.2 より前）に当てはまっていたサイトは、更新に加えて、wp-content の中の見覚えのない .php ファイル、.htaccess の書き換え、知らない管理者ユーザーの有無を確かめる。更新の日より前の Web サーバーのアクセスログも、残っているうちに保存しておく
この一覧の作り方と、JVN の状況
本体は、WordPress.org のセキュリティのお知らせに載った更新を、すべて載せています。プラグイン・テーマは、2026 年 8 月 1 日以降に公開された CVE のうち WordPress に関係するものから、日本でもよく使われるものを選び、CVE レコード（cve.org）と開発元の変更履歴・お知らせで、影響する版と修正版を確かめました。セキュリティ会社の記事やデータベースは出典にしていません。
日本の脆弱性の情報の窓口である JVN は、通常の公表（JVN#・JVNVU#）のページは見られますが、この期間に WordPress のプラグイン・テーマの公表は見当たりませんでした（直近は 2026 年 6 月 3 日の Zoho Mail for WordPress）。そのため、この表は WordPress.org のお知らせ・開発元の勧告・CVE レコードで確かめた件を載せています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、WordPress 本体とプラグインの脆弱性の公表を追い、更新と動作の確認を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
