WordPress 7.0.4公開、PNGを装うRCEに対処

WordPress 7.0.4が2026年8月12日（現地時間）に公開されました。修正されたのは認証済みの「投稿者（Author）」以上の権限で任意コードを実行できる脆弱性 CVE-2026-65640（CVSS v3.0 基本値 8.8／High）です。影響を受けるのは画像処理にImagickとGhostscriptを併用しているサイトに限られますが、対象バージョンは4.7.0〜7.0.3と9年分におよびます。自社サイトが該当するかは管理画面の「サイトヘルス」で数分で判定できるので、まずそこから確認してください。

この記事でわかること

• ImagickとGhostscriptとは何者で、なぜ「使った覚えがない」のに動いているのか
• PNGファイルがなぜコードとして実行されるのか（拡張子と中身の食い違い）
• 自社のWordPressが影響を受けるかを管理画面だけで判定する手順
• 「投稿者権限」がどこまで危険かという現場感覚と、情シスが取るべき動き

ImagickとGhostscriptとは何者か

Imagick（イマジック）とは、画像処理ライブラリImageMagickをPHPから呼び出すための拡張モジュールです。WordPressは画像のリサイズやサムネイル生成にこれを使います。Ghostscript（ゴーストスクリプト）とは、PostScriptやPDFを解釈・描画するためのエンジンです。ImageMagick自身はPostScript／EPS／PDFを解釈できず、これらの形式に出会うと処理を外部のGhostscriptに委ねます。今回の問題が「両方がある環境だけ」で成立するのは、この委譲の関係があるためです。

重要なのは、この2つが「自分で入れた覚えがない」まま動いていることがほとんどだという点です。Imagickはレンタルサーバーや共用ホスティングの標準構成として最初から有効なことが多く、GhostscriptもPDFサムネイル生成のためOSのパッケージとして同梱されています。WordPressはImagickが使えれば、標準の画像処理エンジン（GDライブラリ）より優先して自動的にそちらを選びます。「うちは特別な画像処理などしていない」で片付けず、実際に確認してください。

何が起きたのか

WordPressのセキュリティチームは、研究チームpwn.aiからの報告を受けて7.0.4を公開しました。公式アドバイザリ（GHSA-8vr3-7mxf-gx8w）は、脆弱性を「ImagickとGhostscriptを使用しているサイトにおける、悪意あるファイルアップロードを介した投稿者権限以上のリモートコード実行」と説明しています。

なぜPNGファイルがコードとして実行されるのですか？

WordPressが拡張子でファイル形式を判断していたのに対し、ImageMagickはファイルの中身を見て判断していたためです。この判定基準の食い違いが攻撃の入り口になりました。

攻撃者は、拡張子を.pngにしたファイルの中身にPostScriptのコードを仕込みます。WordPressの検査は拡張子を見て「画像だから問題なし」と通します。ところがImageMagickは先頭バイト（マジックバイト）を読んで「これはPostScriptだ」と判定し、Ghostscriptへ処理を渡す。GhostscriptはPostScriptを「描画命令の書かれたプログラム」として実行する仕組みなので、埋め込まれた命令がサーバー上で動いてしまう、という流れです。

修正では、Imagickにファイルを渡す前に中身を検査する処理が加わりました。先頭をスキャンしてPostScript／EPSの署名を検出したら弾く、%PDF-ヘッダを持たないPDFを拒否する、EPS:innocent.pngのように危険なデコーダーを名指しする書式を取り除く、といった内容です。

影響を受けるのはどんなサイトか

次の3つがすべて成立する場合に限り悪用されます。1つでも外れていれば、今回の経路では成立しません。

自社サイトが該当するかは、どう確認すればよいですか？

管理画面の「ツール」→「サイトヘルス」→「情報」タブを開き、「メディア処理」を展開してください。ここに有効な画像編集エンジン（Active editor）、ImageMagickとImagickモジュールのバージョン、GDのバージョン、そしてGhostscriptのバージョンが一覧表示されます。SSHは不要で、管理者権限があればブラウザだけで判定できます。「Active editor」がWP_Image_Editor_Imagickで、かつGhostscriptのバージョンが出ていれば該当です。サーバーに入れる環境なら、php -mにimagickが含まれるか、gs --versionが応答するかでも同じ確認ができます。

想定されるリスク — 「投稿者権限」をどう見積もるか

CVSSが9点台でなく8.8にとどまるのは、悪用に投稿者以上の権限が必要だからです。ただし実務上、この前提は思ったより緩い点は押さえておくべきです。

• 外部ライターや代理店に投稿者権限を渡しているケースは珍しくありません。社外の端末とパスワード管理の水準は、自社の統制の外にあります。
• 退職者・契約終了者のアカウント残置は、そのまま攻撃の足がかりになります。
• フィッシングやパスワード使い回しで1アカウント奪われれば条件は満たされます。「管理者権限は厳重に守っている」だけでは防御になりません。

成立した場合の被害はWebサーバー上での任意コード実行です。改ざんによる閲覧者へのマルウェア配布、同一サーバー上の他サイトへの波及、内部ネットワークへの踏み台化まで、広がり方は改ざん事案そのものです。Webサイト改ざんで外部誘導、情シスの初動と対策で整理した初動の考え方がそのまま当てはまります。

現場目線の課題 — コーポレートサイトは「情シスの外」にある

正直なところ、この種の脆弱性でいちばん厄介なのは技術ではなく、対象のWordPressが情シスの管理下にないことが多いという組織上の問題です。コーポレートサイトや採用サイトは広報・マーケティング部門が主管で、構築と運用は制作会社に委託されている構図が一般的で、情シスは管理画面のアカウントすら持っていないことがあります。この状態で「7.0.4に上げてください」と依頼しても、返ってくるのは「保守契約の範囲外なので追加見積もりに」「テーマの動作確認が必要なので来月の定例作業で」といった回答で、その間もサイトは動き続けます。脆弱性の深刻度ではなく、契約とスケジュールが更新速度を決めてしまうわけです。

もう1点、見落とされやすいのが対象バージョンの幅の広さです。4.7.0は2016年12月のリリースですから、9年以上残っていた問題ということになります。数年前のキャンペーン用サイトや、閉じたつもりでサーバー上に残るテスト環境が、まさにこの範囲に入ります。公式は旧ブランチにも修正をバックポートしていますが、同時に「積極的にサポートされるのは最新版のみ」と明記しています。旧ブランチに留まる判断は、今回たまたま修正が届いただけで次も届く保証はない、という前提で下すべきです。こうした「見えない依存」の棚卸しについてはImageMagickの脆弱性 見えない依存をどう棚卸すかも併せてご覧ください。

情シスはどうすべきか

最優先はWordPress本体を7.0.4（旧ブランチ運用なら対応する修正版）へ更新することです。「ダッシュボード」→「更新」から手動適用でき、自動更新が有効なサイトには順次配信されます。回避策は公表されておらず、更新以外に根本的な対処はありません。更新までに時間がかかる場合は、投稿者以上の権限を持つアカウントの棚卸しを先に進めてください。不要アカウントの停止、権限の引き下げ、多要素認証の有効化は、更新の可否にかかわらず今日から着手できます。

手順は自前でチェックリストを作り込むより、公的指針を土台にするほうが確実です。ウェブサイト運用の基本は、委託先を含めた体制づくりまで整理されたIPAの中小企業の情報セキュリティ対策ガイドラインを参照してください。改ざん検知後の動き方は、IPAのセキュリティインシデント対応 机上演習教材で一度机上に通しておくと、連絡経路の詰まりが事前に見つかります。あわせて、投稿権限を持つ社外協力者にも「不審なログイン通知が来たら必ず報告する」といった地道な啓発を届けておくことが、最初の一手を左右します。

まとめ

1. 7.0.4はCVE-2026-65640（CVSS 8.8）を修正するセキュリティリリースです。対象は4.7.0〜7.0.3で、回避策はなく更新のみが対処になります。
2. 悪用条件はImagickとGhostscriptの併用、かつ投稿者以上の権限という3点セットです。該当判定は「サイトヘルス」→「情報」→「メディア処理」で数分で終わります。
3. 技術的対処より、管轄の問題を先に片付けてください。制作会社任せになっているなら、更新の依頼経路と権限の棚卸しを今日から進めるのが現実的な一歩です。

直近のリリースについてはWordPress 7.0.3公開 ログイン画面に認証不要XSSを、長期休暇中のパッチ適用体制については夏季休暇のセキュリティ対策 盆休みと重なるパッチ火曜もご参照ください。

出典

• WordPress.org「WordPress 7.0.4 Release」（2026年8月12日）
• WordPress セキュリティアドバイザリ GHSA-8vr3-7mxf-gx8w（CVE-2026-65640）
• WordPress Documentation「Site Health screen」
• IPA「中小企業の情報セキュリティ対策ガイドライン」
• IPA「セキュリティインシデント対応 机上演習教材」