コンテンツ管理システム「WordPress」において、特定の条件下でリモートから任意のコードを実行される可能性のある深刻度の高い脆弱性「CVE-2026-65640」が報告されました。この脆弱性は、画像処理ライブラリであるImagickおよびGhostscriptを使用する環境で、投稿者（Author）以上の権限を持つ攻撃者によって悪用される恐れがあります。WordPress開発チームは、この問題に対処するため修正版「WordPress 7.0.4」をリリースし、利用者に速やかな更新を呼びかけています。現在のところ、この脆弱性に対する活発な攻撃は確認されていませんが、潜在的な影響は大きく、迅速な対応が求められます。
今すぐ行う対策
- ✓**WordPressを修正版7.0.4へ更新する:** 管理画面から手動で更新するか、自動バックグラウンド更新が有効になっている場合は適用状況を確認してください。
- ✓**旧バージョン向けパッチの適用状況を確認する:** WordPress 4.7までの旧ブランチに対するバックポート作業も進められており、リリースされ次第適用を検討してください。
- ✓**侵害の兆候がないか確認する:** 不審なファイルアップロード、予期しないコード実行、権限の変更などがないかシステムログやWordPressの活動ログを確認してください。
脆弱性の概要と影響範囲
「CVE-2026-65640」は、WordPressのコア部分に存在する脆弱性で、共通脆弱性評価システム「CVSSv3.0」のベーススコアで8.8（重要度:高）と評価されています。この脆弱性は、WordPressが画像処理に利用する「Imagick」および「Ghostscript」がインストールされた環境において、投稿者以上の権限を持つユーザーが細工されたPostScriptファイルをアップロードすることで、リモートから任意のコードを実行できるというものです。結果として、サイトが攻撃者に乗っ取られる、あるいはサーバー上で任意のプログラムを実行されるなどの重大な影響が生じる可能性があります。
具体的な影響・攻撃シナリオ
この脆弱性を悪用する攻撃シナリオでは、まず攻撃者がなんらかの方法でWordPressサイトに投稿者（Author）以上の権限を持つアカウントを取得します。その後、そのアカウントを利用して、意図的に細工されたPostScriptファイル（例: 画像ファイルに見せかけた悪性ファイル）をWordPressのメディアライブラリなどを介してアップロードします。ImageMagickやGhostscriptがこのファイルを処理する際に脆弱性がトリガーされ、攻撃者の意図する任意のコードがサーバー上で実行されます。これにより、ウェブサイトの改ざん、データの窃取、さらにはサーバー全体の侵害につながる恐れがあります。ウェブテクノロジー調査会社W3Techsの統計によれば、WordPressは全ウェブサイトの41.2%で利用されており、インターネットの基盤とも言える存在です。
対応手順と確認方法
WordPressの管理画面にログインし、「ダッシュボード」->「更新」から最新版である7.0.4への更新を適用してください。自動更新が設定されている場合でも、必ず最新バージョンが適用されているかを確認することが重要です。また、過去に不審なファイルがアップロードされていないか、特に`/wp-content/uploads/`ディレクトリなどに予期しないPostScriptファイル（.ps, .epsなど）や、見慣れないPHPファイルが存在しないかを確認してください。サーバーのアクセスログやエラーログも、不審なリクエストやエラーがないか確認の対象となります。
📦