何が起きたか
2026 年 7 月 17 日、WordPress 7.0.2 が公開されました。2 つの脆弱性（CVE-2026-63030 / CVE-2026-60137）を組み合わせると、外部からプログラムを実行されるおそれがあるものです。深刻度は CVSS 9.8 です。
7 月 22 日には IPA（情報処理推進機構）が注意喚起を出しました。実際に悪用されている脆弱性として、米国 CISA の一覧にも載っています。修正の公開から約 90 分で攻撃の試みが始まった、という報告もあります（Patchstack）。
対象と修正版
- 対象: WordPress 6.8.0〜7.0.1
- 修正版: 7.0.2 / 6.9.5 / 6.8.6
確認すること
- WordPress の管理画面で版を確かめる（自動更新がかかっていても、環境によっては更新されていないことがあります。IPA も確認を呼びかけています）
- 修正版より古ければ、すぐに更新する
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。