WordPress本体に編集メモ（Notes）への不正アクセスの脆弱性

CVSS 3.8 LOW

対象	WordPress 本体 WordPress
影響バージョン	6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	認証バイパス（Incorrect Authorization）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

コメント管理権限を持つが投稿の編集権限を持たない独自ロールのユーザーが、その投稿に付いた編集メモ（Notes）を閲覧・改ざん・削除できる恐れがあります。深刻度は低（CVSS 3.8）です。

想定される被害と条件

本来見られないはずの投稿の編集メモ（社内向けの指示や未公開情報など）が閲覧される（条件：コメント管理権限を持つ独自ロールのユーザーが存在する場合）
編集メモの内容が書き換えられ、編集作業の指示が改ざんされる
編集メモが削除され、編集上のやり取りの記録が失われる
標準ロールのみで運用しているサイトや、編集メモ機能を使っていないサイトでは影響は限定的

今日やること

WordPress本体を7.1.4以上に更新し、コメント管理権限を持つ独自ロールのユーザーがいないか確認してください。

すぐに更新できない場合

コメント管理はできるが投稿編集はできない独自ロール（ロール管理プラグインで作成したものなど）の権限を一時的に外すか、該当ユーザーを停止してください。編集メモに機密情報を書かないことも有効です。

更新後に確認すること

管理画面「ユーザー」で、コメント管理権限を持つ独自ロールのユーザーと、見覚えのないアカウントがないか確認する
主要な投稿の編集画面で編集メモ（Notes）を開き、内容の改ざんや消失がないか確認する
アクティビティログ系プラグインやサーバーのアクセスログで、REST API（/wp-json/wp/v2/comments）への不審なアクセスがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to authorization bypass in versions 6.9 through 7.1.3. This is due to insufficient authorization checks in the REST API comments controller. This makes it possible for authenticated attackers with a custom role that can moderate comments, but cannot edit the affected posts, to read, modify, and delete editorial notes attached to those posts.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/d6ad5464-6fc3-40ce-add5-4993b70a6c1a?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。