WordPress本体のログイン画面にクロスサイトスクリプティングの脆弱性

WordPressのログイン失敗メッセージは、入力された名前を太字で示すなど、装飾を含んだHTML（画面の見た目を指定する記号）として出力されます。
そのため、出力する直前にメッセージ全体をまとめて無害化すると、装飾がそのまま記号として表示されてしまいます。

装飾は残しつつ、利用者が入力した部分だけを「ただの文字」として扱う処理を、差し込む時点で行う必要がありました。この処理が欠けていたことが原因です。

なお、ログインフォームの入力欄そのものには、以前から無害化の処理が行われています。今回の問題はエラーメッセージの表示部分に限られます。
対策版では、メッセージに値を差し込む時点で無害化を行う処理が追加されました。

CWE-79 クロスサイトスクリプティング（XSS） 

該当バージョンをご利用の場合、以下の対応を強く推奨します。

1. WordPress本体の更新
   • 速やかに、WordPress本体を対策版へ更新してください。最新系列をご利用の場合は、バージョン 7.0.3 以降が対象です。
   • それ以前の系列（4.7〜7.0）をご利用の場合も、各系列向けの修正版が提供されています。
   • 自動更新を有効にしている場合は、すでに適用されていることがあります。
     管理画面の「ダッシュボード」→「更新」から適用状況をご確認ください。
2. 被害確認
   • 本脆弱性では、攻撃に使われた内容がサイト内に保存されません。
     そのため、サイトの表示ではなくアクセス記録から確認します。
   • サーバーのアクセスログで、ログイン画面（wp-login.php）への送信（POST）のうち、参照元（リファラー）に外部サイトが記録されているものがないか確認してください。攻撃には外部ページからの送信が伴うため、判断の手がかりになります。
   • WAFやセキュリティ系プラグインを導入している場合は、その検知ログにログイン画面を狙ったリクエストの記録がないか確認してください。
   • 該当する記録があっても、それだけで被害が発生したとは限りません。まず更新の適用を優先し、そのうえで内容をご確認ください。
3. 追加のセキュリティ対策
   • WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、XSSを狙うリクエストの遮断に有効です。ただし、WAFですべての攻撃を防げるわけではないため、根本的な対策となる本体の更新を優先してください。
   • ログイン画面へのアクセスを特定のIPアドレスからのみ許可する設定も、攻撃の到達を減らす手段として有効です。

⇒ログイン画面で見慣れない入力欄やメッセージが表示された場合は、その画面での入力を控え、WordPressの専門家などへの相談を推奨します。

WordPress 4.7.0 から 7.0.2 までのバージョン

CVE-2026-64638
（公開日 2026年8月7日 更新日 2026年8月7日）

基本値: 6.1 (警告)  　[Wordfence]

CVE-2026-64638 悪用確率 0.77% （上位48%） 2026年8月12日時点 

（今後30日以内に悪用される確率 )