2026年8月12日、WordPress公式からセキュリティ修正版「WordPress 7.0.4」が公開されました。今回は新機能の追加ではなく、リモートコード実行（RCE）につながる脆弱性「CVE-2026-65640」を直すためのリリースです。公式も、セキュリティリリースであることを理由に、サイトをすぐに更新するよう呼びかけています。
先月末にお伝えした「wp2shell」対策として 7.0.2 へ上げた方も、今回の問題は別件です。7.0.2 や 7.0.3 のままでは今回の修正は入っていません。さくらのVPSでWordPressを運用している方は、レンタルサーバーのような事業者側の自動対応に頼れないケースが多いため、自分でバージョンを確認してアップデートしてください。
何が起きているのか（概要）
今回修正されたのは、特定のサーバー環境において、投稿者（Author）以上の権限を持つユーザーが細工したファイルをアップロードすると、サーバー上で意図しないプログラムを実行できてしまう問題です。識別番号は CVE-2026-65640、危険度は CVSS 8.8（高）と評価されています。
ポイントは次の3つです。
– 攻撃が成立すると影響が大きい：RCE（リモートコード実行）が成立すると、サイトの改ざん、不正プログラムの設置、情報の窃取などにつながる可能性があります。
– ただし、誰でもいきなり攻撃できるわけではない：未ログインの第三者が直接悪用できる「wp2shell」とは違い、今回はファイルをアップロードできる権限（標準では投稿者以上）が必要です。
– サーバー側の画像処理ソフトが関係する：Imagick（PHPからImageMagickを使う仕組み）と Ghostscript の両方が入っている環境が前提です。WordPress本体の単純な不具合というより、アップロード処理とサーバー側の画像処理が組み合わさって成立する問題です。
攻撃の流れをかんたんに書くと、次のようになります。
- 投稿者以上の権限で、細工した PostScript ファイルをアップロードする
- WordPressが Imagick を使って画像処理を行う
- Imagick から Ghostscript が呼び出される
- サーバー上で意図しないコードが実行される可能性がある
普段 PostScript 形式のファイルを扱わないサイトでも、「使っていないから大丈夫」とは言えません。問題なのは、攻撃者が意図的にその形式のファイルをアップロードし、サーバーに処理させることです。
対象バージョンと修正バージョン
今回の問題は WordPress 7.0 で新しく生まれたものではありません。4.7 以降の広いバージョンが対象で、各系列に修正版が用意されています。4.6 以前はセキュリティ更新の対象外です。
よく使われている系列だけ抜き出すと、次のとおりです。
| 系列 | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| 7.0 | 7.0.0〜7.0.3 | 7.0.4 |
| 6.9 | 6.9.0〜6.9.6 | 6.9.7 |
| 6.8 | 6.8.0〜6.8.7 | 6.8.8 |
| 6.7 | 6.7.0〜6.7.6 | 6.7.7 |
これより古い系列（6.6、6.5……4.7）にも修正版は出ています。ただし公式が積極的にサポートしているのは最新版だけなので、可能であれば最新系列への移行も検討してください。
現在のバージョンが上表の「影響を受ける」範囲に入っている場合は、同じ系列の修正済みバージョンへアップデートしてください。
なぜ「さくらVPS」利用者は特に注意が必要なのか
Xserver やロリポップ、さくらの「レンタルサーバ」（VPSとは別のシェアード型サービス）といった事業者は、サーバー側での通信遮断や自動アップデートの案内など、事業者としての対応を出すことがあります。
一方で、さくらのVPSは root 権限を持つ自分専用のサーバーです。WordPress の動作環境（Apache/Nginx、PHP、データベース、Imagick、Ghostscript など）もすべて自分で構築・管理しているはずなので、こうした「事業者側の防御」は基本的に働きません。つまり、
- WordPress本体の自動更新が有効になっているかどうかも自分次第
- 更新が失敗していても、誰も教えてくれない
- KUSANAGI などの環境構築ツールを使っている場合、そのツール特有の設定が影響することもある
- 高速化や画像処理のために Imagick を入れている環境では、今回の前提条件を満たしやすい
という点を理解した上で、自分の目でバージョンを確認する必要があります。
KUSANAGI を使っている場合、画像処理のために ImageMagick / Imagick が入っていることがあります。入っているかどうか分からなくても、今回の更新で変わる WordPress 本体のファイルは Imagick 関連の1ファイルだけなので、条件を満たすかどうかにかかわらず、修正版へ上げておくのが確実です。
自分のサイトが対象か確認する方法
方法1：管理画面から確認する
- WordPressの管理画面にログインします。
- 左メニューの「ダッシュボード」→「概要」を開くか、「更新」画面を開きます。
- 表示されているバージョン番号を確認します。
7.0.3 以前、6.9.6 以前、6.8.7 以前など、各系列の修正済みバージョン未満であれば対応が必要です。
方法2：SSH（WP-CLI）で確認する
VPSでは、サーバーに直接ログインして確認することもできます。WP-CLIを導入している場合は、WordPressをインストールしているディレクトリで次のコマンドを実行するとバージョンが表示されます。
wp core version（任意）Imagick と Ghostscript が入っているか確認する
今回の攻撃が成立する前提は、Imagick と Ghostscript の両方が使われていることです。入っていなければ直接の影響は小さくなりますが、将来入れる可能性もあるため、バージョン確認と更新自体は行ってください。
SSHでログインできる場合の確認例です。
php -m | grep -i imagick
which gs`imagick` と表示され、`gs` のパスも出る場合は、今回の前提条件を満たしている可能性があります。WordPress の「サイトヘルス」画面でも、画像の編集に Imagick を使っているかどうかを確認できます。
実際の更新方法
手順A：管理画面から更新する（もっとも簡単）
- 管理画面の「ダッシュボード」→「更新」を開きます。
- 「今すぐ更新」ボタンが表示されていれば、それをクリックします。
- 更新が完了するまで、画面を閉じずに待ちます。
- 完了後、再度バージョンを確認し、7.0.4（または利用中の系列の修正済みバージョン）になっていればOKです。
自動バックグラウンド更新が有効なサイトでは、順次適用されることもあります。ただし VPS では無効化されていることがあるため、適用されたかどうかは必ず自分で確認してください。
手順B：SSH（WP-CLI）から更新する
コマンド操作に慣れている方であれば、WP-CLIでの更新が確実です。
wp core update
wp core version万が一、管理画面上で「今すぐ更新」ボタンが出てこない・グレーアウトしている場合は、ファイルの書き込み権限（パーミッション）の問題や、ディスク容量不足が原因になっていることがあります。この場合はSSHでの更新や、サーバー側の設定確認が必要です。
更新前に必ずやっておくこと：バックアップ
今回の 7.0.4 で変更される WordPress 本体のファイルは `/wp-includes/class-wp-image-editor-imagick.php` の1つだけです。大きな機能追加を伴う更新に比べると、表示が大きく崩れるリスクは小さめです。とはいえ、何が起きても復旧できるよう、更新前には次のバックアップを取っておくと安心です。
– WordPressのファイル一式（wp-contentフォルダを含む）
– データベース（mysqldumpコマンドや、利用しているバックアップツール）
VPSでは自動バックアップの仕組みが標準で用意されていない場合もあるため、契約しているバックアッププランの有無や、cronで定期バックアップを組んでいるかを、この機会に確認しておくとよいでしょう。
更新作業でつまずきやすいポイント
「自分一人しか使っていないから大丈夫」ではない
今回の脆弱性は、未ログインの第三者がいきなり攻撃できるタイプではありません。標準の権限では、購読者・寄稿者ではファイルをアップロードできず、投稿者・編集者・管理者が対象になります。
そのため、管理者アカウントしかない個人ブログでは、直接悪用されるハードルは比較的高いです。一方で、次のようなサイトは優先度を上げて更新してください。
- 複数人で記事を投稿している
- 外部ライターへ投稿者権限を付与している
- 会員が画像つきの記事を投稿できる
- 社内CMSやユーザー投稿型のサービスとして使っている
また、別の方法で投稿者アカウントが乗っ取られたあとに、今回の脆弱性を組み合わせて攻撃される可能性もあります。「ログインが必要だから安全」と判断せず、修正版へ更新しておくことが基本です。
7.0.2 や 7.0.3 へ上げただけでは足りない
2026年7月に問題になった「wp2shell」は、7.0.2（および 6.9.5、6.8.6）で修正されました。その後の 7.0.3 も別のセキュリティ修正です。今回の 7.0.4 は、これらとは経路の異なる別の脆弱性です。
「先日アップデートしたばかりだから大丈夫」と思わず、いま表示されているバージョンが 7.0.4（または各系列の修正済みバージョン）になっているかを確認してください。
自動更新が無効になっていることがある
WordPressには本来、セキュリティ修正のような小規模な更新（マイナーアップデート）を自動的に適用する仕組みがあります。ただし、wp-config.php に次のような設定が入っていると、自動更新が無効化されている場合があります。
define( 'WP_AUTO_UPDATE_CORE', false );KUSANAGI など特定の構築ツールを使っている場合や、過去に何らかの理由でこの設定を追加したことがある場合は、自動更新任せにせず、手動でバージョンを確認する習慣をつけましょう。
更新が途中で失敗する
VPSでは、ディスク容量不足やパーミッションの設定によって更新が途中で止まってしまうことがあります。「更新に失敗しました」といったエラーが出た場合は、原因を切り分けて対処する必要があります。心当たりがある方は、当サイトの以下の記事もあわせてご覧ください。
長期間更新していないサイトでは、プラグインなどのアップデート時に次のエラーが出て更新できないことがあります。
cURL error 60: SSL certificate problem: unablecURL これは WordPress 内部の証明書リストが古いことが原因です。対処方法は次の記事にまとめています。
更新後の動作確認を忘れない
今回変更されるのは Imagick 関連のファイルだけなので、とくに画像まわりを確認すると安心です。
– トップページが正常に表示されるか
– 管理画面にログインできるか
– 投稿・固定ページを編集できるか
– 画像をアップロードできるか
– サムネイルが正常に生成されるか
問題が出た場合も、慌てずにバックアップから復旧できるようにしておくと安心です。
サイト運用を制作会社・保守会社に任せている場合
サイトの管理を外部に委託している場合は、自分で操作せず、次のように問い合わせて確認してもらいましょう。
– WordPress 7.0.4（CVE-2026-65640）へのアップデート対応は完了しているか
– 現在のWordPressのバージョンはいくつか
まとめ
WordPress 7.0.4 は、リモートコード実行につながる脆弱性（CVE-2026-65640）を修正するセキュリティリリースです。Imagick と Ghostscript を使う環境では、投稿者以上の権限を持つユーザーが細工したファイルをアップロードすると、サーバー上で意図しないコードが実行される可能性があります。
今回の問題は、未ログインの第三者による直接攻撃ではなく、先にお伝えした「wp2shell」とも別件です。そのため、7.0.2 や 7.0.3 へ上げただけでは今回の修正は入っていません。対象は 4.7 以降の広いバージョンで、7.0 系なら 7.0.4、6.9 系なら 6.9.7、6.8 系なら 6.8.8 へ更新してください。
さくらのVPSはレンタルサーバーと違い、事業者側の自動対応に頼れません。自分でバージョンを確認し、更新を行う必要があります。今回の更新で変わる WordPress 本体のファイルは Imagick 関連の1ファイルだけですが、更新前にはバックアップを取り、更新後は画像のアップロードやサムネイル生成が正常に動くかも確認しておきましょう。
対象バージョンを使用している方は、この記事を参考に、できるだけ早く対応を済ませてください。
—
参考リンク
WordPress 7.0.4 Release（WordPress.org）https://wordpress.org/news/2026/08/wordpress-7-0-4-release/
Version 7.0.4（WordPress.org ドキュメント）https://wordpress.org/documentation/wordpress-version/version-7-0-4/
政府クラウドの提供事業者である「さくらインターネット」のさくらのVPSは24時間365日の有人監視のセキュリティ体制が整っており、月額535円から始められます！
レンタルサーバーより自由度の高いサーバーを始めるならぜひお試しください♪
