WordPress本体に未公開のカスタマイザー設定が見られる情報漏えいの脆弱性

CVSS 5.3 MEDIUM 未ログインで悪用可能

対象	WordPress 本体 WordPress
影響バージョン	4.9.0 〜 4.9.34、5.0.0 〜 5.0.30、5.1.0 〜 5.1.27、5.2.0 〜 5.2.29、5.3.0 〜 5.3.26、5.4.0 〜 5.4.24、5.5.0 〜 5.5.23、5.6.0 〜 5.6.22、5.7.0 〜 5.7.20、5.8.0 〜 5.8.18、5.9.0 〜 5.9.19、6.0.0 〜 6.0.17、6.1.0 〜 6.1.15、6.2.0 〜 6.2.14、6.3.0 〜 6.3.13、6.4.0 〜 6.4.13、6.5.0 〜 6.5.13、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	情報漏えい（Exposure of Sensitive Information to an Unauthorized Actor）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress本体の「カスタマイズ」機能で、公開前に保存した下書き状態のデザインや設定内容が、ログインしていない第三者から閲覧される恐れがあります。サイト改ざんはできませんが、未公開の情報が事前に漏れる可能性があります。

想定される被害と条件

カスタマイザーで「下書き保存」や「予約公開」にした未公開のデザイン・テキスト・メニュー構成などを第三者に見られる
公開前のキャンペーン告知や新商品情報などがカスタマイザー上に保存されている場合、発表前に外部へ漏れる
被害が起きるのは、カスタマイザーに未公開の変更（下書き・予約）が残っている場合に限られる
ログイン不要で閲覧できるため、誰でも対象になり得る（データの改ざんや削除はできない）

今日やること

WordPress本体を7.1.4以上（または各系列の最新セキュリティ版）に更新し、自動更新が有効かも確認してください。

すぐに更新できない場合

すぐ更新できない場合は、カスタマイザーに未公開の下書き・予約変更を残さず、公開するか破棄してください。機密性の高い内容はカスタマイザーの下書きに保存しないようにしてください。

更新後に確認すること

管理画面「ダッシュボード」→「更新」でWordPressのバージョンが7.1.4以上（または各系列の修正版）になっていることを確認する
「外観」→「カスタマイズ」を開き、未公開の下書きや予約公開の変更が残っていないか確認し、不要なものは破棄する
未公開の変更に外部に知られて困る情報（発表前の告知・連絡先など）が含まれていた場合、関係者と漏えい時の影響を確認する
可能であればサーバーのアクセスログで、未ログインの利用者による「customize」関連プレビューへの不審なアクセスがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Sensitive Information Exposure in versions 4.9 through 7.1.3 because an unauthenticated Customizer preview request without a changeset UUID can adopt the latest unpublished changeset. This makes it possible for unauthenticated attackers to view unpublished Customizer state when an affected changeset exists.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/28a181ab-5a80-4c85-8a70-63144068c08b?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。