【2026年8月版】WordPressの脆弱性情報一覧

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事は、WordPress本体の脆弱性情報をまとめたもので、2026年8月25日に改訂したものとなります。

WordPressはウェブサイトやブログを作成、管理するためのオープンソースのCMS（コンテンツ・マネジメント・システム）です。
このWordPressは世界で最も利用されているCMSであり、W3Techsによれば、世界中のWebサイトの約40.7％がWordPressで構築されているとのことです。

一方で、世界で最も利用されているCMSであるからこそ、その脆弱性をついたサイバー攻撃の標的になりやすいという特徴も有しています。

近年、特に2013年以降におけるWordPressの脆弱性は、テーマやプラグインに関するものが多くを占めていますが、WordPress本体（コア）に関する脆弱性への対応が重要であることは変わりません。

そこで、この記事ではWordPress本体（コア）の脆弱性情報をまとめることで、企業のWeb担当者の皆様が、ご使用になられているWordPressの脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

2026年8月25日現在、最新メジャーバージョンはWordPress 7.1系統で、最新安定版はWordPress 7.1です。

あまり知られていませんが、WordPress公式が「公式にサポートされるバージョン」として位置づけているのは、最新メジャーリリースのみです（公式サイトのSupported Versionsをご確認ください）。
それ以前のメジャーバージョンは 公式にサポートされるバージョンには該当しません。

とはいえ、WordPress では実際に古いバージョンに対しても、可能な範囲でセキュリティ修正がバックポートされることがあることから、最新バージョンではないからセキュリティサポートが無いということではありません。
各バージョンとサポート状況については、「WordPressのバージョン情報とサポート期限」をご確認ください。

しかしながら、公式サイトによれば、このバックポート対応は、“as a courtesy”（礼儀として）“critical security fixes”（重要度なセキュリティ修正）を受け取れるものであって、全ての脆弱性に対する修正が保証されているわけではないことに注意が必要です。

実際に、CVE-2023-5692やCVE-2021-44223など、旧バージョンにバックポートされていない脆弱性も存在します。

CVE-2023-5692については、発現条件が限定的であり、修正には内部の構造（404時のリダイレクト推測処理の挙動変更）を伴うため、バックポートの対象外とされたのではないかと当社では分析しています。
CVE-2021-44223については、プラグインヘッダ解析・更新判定・管理画面表示など4ファイルにまたがる機能追加であったことや、旧バージョン向けにはコアへのバックポートではなく、更新 API リクエストをフィルタリングして自プラグインを除外する回避策を案内していることから、対象外とされたのではないかと当社では分析しています。

いずれにせよ、WordPress公式は、常に最新バージョンへアップグレードする運用を強く推奨しています。

WordPress本体（コア）に関する脆弱性で、2023年以降に公表されたものについては、CVSS v3にて緊急（9.0～10.0）、重要（7.0～8.9）、警告（4.0～6.9）に区分される脆弱性情報を掲載しています。

WordPress本体（コア）に関する脆弱性で、2022年以前に公表されたものについては、CVSS v3にて緊急（9.0～10.0）に区分される脆弱性情報のみを掲載しています。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※本表には、CVEが採番された脆弱性に加え、WordPress公式がセキュリティリリースで修正を公表した問題や、信頼できる脆弱性データベースが公開しているCVE未採番の脆弱性情報も掲載しています。CVE未採番またはCVSS未評価の問題については、その旨を表中に記載しています。
※深刻度については、原則として公表済みのCVSS v4.0基本値を記載しています。CVSS v4.0の評価値が公表されていないCVEについては、CVSS v3.xの評価値を記載しています。前述の掲載ルール外の脆弱性情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。NVDにてスコアリングされていない場合にはWordfenceのスコアを掲載しています（Wordfenceでもスコアリングされていない場合には、公式GitHubアドバイザリのスコアを掲載しています）。
※原則としてJVNのページを正としていますが、JVNに掲載されていない情報などについてはNVDのサイトを参照しています。
※本記事における脆弱性情報は、当社が把握している情報の一部であり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

前述のように、WordPressはPHPをはじめとするミドルウェア（MySQLやApache）や、WordPress上で動作するテーマやプラグインとの依存関係に留意しながら、バージョンアップを行う必要があります。

また、Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、WordPressについては得意な会社が多いと思いますが、PHPを含めたミドルウェアについては対応されていない会社も多いと思います。