WordPress（WordPress本体・プラグイン・テーマ）の脆弱性を、ヒューマンハッカーの取得データから集計しています。直近30日の公表・更新は21件、この1年に悪用が確認された件は6件です。
このページの要点
- 件数が多い製品はBackstage・bookit（Liquid Web / StellarWP BookIt）・jetformbuilderです。
- 悪用確認の最新は2026-09-25のCore（CVE-2026-87902）です。
- 保守終了日はWordPressを載せています。
01今確かめたいWordPressの脆弱性
悪用が確認された件（1年分）と、直近30日の深刻度「緊急」の件です。番号を押すと、一覧で詳しく確かめられます。
| 公表・更新 | 製品 | 内容 | 状態 |
|---|---|---|---|
| 2026-09-25 | Core | WordPress Coreのリモートファイルインクルード脆弱性。認証不要の攻撃者がテーマ外の読み取り可能な.phpを読み込ませ、リモートコード実行に至る恐れがある。悪用が確認されている。CVE-2026-87902 | 悪用確認 |
| 2026-07-21 | Core | WordPress CoreのSQLインジェクション。プラグインやテーマが信頼できない入力を渡す場合に発生し、他の脆弱性と連鎖し得る。悪用が確認されている。CVE-2026-60137 | 悪用確認 |
| 2026-07-21 | Core | WordPress Coreの解釈の競合の脆弱性。SQLインジェクションを経てリモートコード実行に至る恐れがあり、悪用が確認されている。CVE-2026-63030 | 悪用確認 |
| 2026-06-15 | cPanel Plugin | LiteSpeed cPanelプラグインのシンボリックリンク追跡の脆弱性。共有ホスティング上でFTPやWebシェルアクセスを持つユーザーに悪用される恐れがあり、悪用が確認されている。CVE-2026-54420 | 悪用確認 |
| 2026-05-26 | cPanel Plugin | LiteSpeed cPanelプラグインの権限昇格。ユーザー向けプラグインを通じて任意のcPanelアカウントに悪用される恐れがあり、悪用が確認されている。CVE-2026-48172 | 悪用確認 |
| 2026-04-30 | cPanel & WHM and WP2 (WordPress Squared) | WebPros cPanel & WHMおよびWP2のログインフローにおける認証バイパス。認証なしの攻撃者に悪用される恐れがあり、悪用が確認されている。CVE-2026-41940 | 悪用確認 |
| 2026-11-02 | bookit（Liquid Web / StellarWP BookIt） | WordPress用プラグインBookItに、SQLインジェクションの脆弱性がある。CVE-2026-62048 | 緊急 |
02WordPressの保守終了（EOL）
保守が終わった系列には、脆弱性が見つかっても修正版が出ません。使っている系列の保守終了日を確かめ、終了が近ければ入れ替えの予定を立てます。日付は endoflife.date の取得データ（2026-11-02時点）で、提供元の公式の情報で確かめてください。
WordPress
| 系列 | 保守終了日 | 状態 | 最新版 |
|---|---|---|---|
| 7.1 | — | 終了日の発表なし | 7.1.4 |
| 7.0 | — | 終了日の発表なし | 7.0.8 |
| 6.9 | — | 終了日の発表なし | 6.9.11 |
| 6.8 | — | 終了日の発表なし | 6.8.12 |
| 6.7 | — | 終了日の発表なし | 6.7.11 |
| 6.6 | — | 終了日の発表なし | 6.6.11 |
03外から見えているかを確かめる
WordPressのうち、社外から届く場所に置いた物は、脆弱性が出たときに真っ先に狙われます。どの製品を、どの名前とIPアドレスで外に出しているかを一覧にしておくと、公表の日にすぐ対象かを判断できます。保守を委託している機器も含めます。
