WordPress本体（コア）の画像処理機能において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 7.0.3 までを含む複数の系統です（4.7.0 以降の各系統が対象）。
本脆弱性を悪用された場合、サイトにファイルをアップロードできる利用者によって、サーバー上で不正なプログラムが実行される可能性があります。
対策として、バージョン 7.0.4 以降（またはお使いの系統の対策バージョン）への更新を推奨します。
脆弱性詳細
本脆弱性は、アップロードされたファイルを画像として処理する部分に存在します。
拡張子を画像やPDFに見せかけたファイルが、本来扱うべきでない形式として処理されてしまう状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- サーバー上のファイルが不正に読み取られる、または書き込まれる可能性
- 最終的に、サーバー上で攻撃者が用意したプログラムが実行される（リモートコード実行）可能性
なお、これらの被害は、サイトが画像処理エンジンとして「Imagick」を使用し、かつサーバーに「Ghostscript」（PDF等を画像化するための外部プログラム）が導入されている環境で発生します。多くの一般的なレンタルサーバーではこの構成が使われているため、該当する可能性があります。ご利用のサーバーの構成が不明な場合は、更新の対象とみなして対応することを推奨します。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- サイトにファイルをアップロードできる権限（標準では「投稿者」レベル以上）を持つ利用者が、細工されたファイルをアップロードする
- アップロード後、そのファイルのプレビュー画像や縮小画像を生成する処理が自動的に実行される
このため、攻撃者が特別な操作を続けなくても、ファイルをアップロードした時点で処理が進む点に注意が必要です。
（一部の公開フォーム系プラグインなどを併用している場合、ログインしていない第三者が到達できる可能性もあります。）
技術的な詳細
WordPressは、アップロードされたファイルを画像処理エンジンへ渡す前に、そのファイルが安全に扱える形式かを確認する必要がありました。
しかし対策前は、この確認をファイル名の拡張子に頼っており、ファイルの中身の先頭にある「形式を示す識別情報」を照合していませんでした。そのため、中身が別の形式であっても拡張子を偽装することで確認をすり抜け、画像処理エンジンを経由して外部のプログラム（PostScriptやPDFを扱う処理系）に渡ってしまう状態でした。
対策版では、ファイルの中身の先頭を確認し、拡張子と実体が食い違うファイルや、画像として扱うべきでない形式を、処理せずに拒否するよう修正されています。
脆弱性の種類
推奨対応事項
該当バージョンをご利用の場合、以下の対応を強く推奨します。
- WordPress本体の更新
- 速やかに、WordPressを対策バージョン（7.0系では 7.0.4 以降）へ更新してください。お使いの系統に応じた対策バージョンが提供されています。
- 被害の確認
- メディアライブラリに、投稿者レベル以上の利用者がアップロードした、心当たりのないファイル（特にPDFや、正しく縮小画像が作られていない添付ファイル）が存在しないか確認してください。
- サーバーのアップロード先フォルダやWebサイトの公開領域に、アップロードした覚えのないファイル（特に拡張子が「.php」のファイル）が置かれていないか確認してください。不正なプログラムが設置された痕跡となる場合があります。
- 追加のセキュリティ対策
- 更新を適用するまでの間の暫定策として、WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）の導入は、不正なファイルのアップロードを狙う通信の遮断に有効です。ただしWAFですべての攻撃を確実に防げるわけではないため、根本的な対策となる更新を優先してください。
- サーバーを管理している場合は、画像処理エンジン側の設定（policy.xml）でPDFやPostScript等の処理を制限することでも、被害の発生を抑えられます。
⇒不審なファイルが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
WordPress 4.7.0 ～ 7.0.3（各系統の対策バージョン未満）
脆弱性情報 (CVE-ID)
CVE-2026-65640 
/ RESERVED（2026年8月13日 時点）
脆弱性の深刻度 (CVSS v3)
基本値: 8.8 (重大) [Wordfence]
脆弱性脅威度(EPSS)
－
参考
WordPress Core <= 7.0.3 – Authenticated (Author+) Remote Code Execution via Malicious File Upload
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
WordPress本体をご利用のすべてのお客様に、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
