WordPress本体にサービス拒否（DoS）の脆弱性

CVSS 3.5 LOW

対象	WordPress 本体 WordPress
影響バージョン	6.4.0 〜 6.4.13、6.5.0 〜 6.5.13、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	その他（Uncaught Exception）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress本体の「Interactivity API」で、不正な形式のデータを確認せずに処理してしまう不具合があります。投稿者権限以上のユーザーが細工した内容を保存すると、そのページを閲覧したブラウザ側で表示処理が止まり、ページが正常に表示されなくなる恐れがあります。

想定される被害と条件

細工された投稿・ページを閲覧すると、閲覧者のブラウザで動きのある部分（ボタンやメニューなど）が正常に動作・表示されなくなる
被害が起きるのは、寄稿者（Contributor）以上の権限を持つアカウントが悪用された場合や、悪意のある人物が投稿権限を持っている場合
該当ページを閲覧者が開くことで影響が発生する（サーバー自体の停止や情報漏えい・改ざんは想定されていない）
外部の寄稿者を受け入れているサイトや、複数人で運用しているサイトほど影響を受けやすい

今日やること

WordPress本体を7.1.4以上に更新し、自動更新が有効かどうかも確認してください。

すぐに更新できない場合

不要な寄稿者以上のアカウントを削除・権限変更し、残すアカウントはパスワード変更と二段階認証の導入を行ってください。また、寄稿者が作成した投稿は公開前に管理者が内容とプレビューを確認するようにしてください。

更新後に確認すること

管理画面「ユーザー」で、見覚えのないアカウントや寄稿者以上の権限を持つ不審なユーザーがいないか確認する
管理画面「投稿」「固定ページ」で、最近作成・更新された見覚えのない投稿や下書き、レビュー待ちの投稿がないか確認する
主要なページを実際に開き、メニューやボタンなどが正常に表示・動作するか確認する
表示がおかしいページがあれば、そのページの「リビジョン」で不審な変更がないか確認し、問題があれば以前の版に戻す

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to a stored client-side Denial of Service in versions 6.4 through 7.1.3 because Interactivity API directive maps and class or style bindings do not validate reserved names and value types before using them. This makes it possible for authenticated attackers, with Contributor-level access and above, to store malformed interactive markup that aborts client-side rendering on affected pages.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/8c938a33-e88b-4e4b-af5e-37ea46f2a111?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。