CyberSecurityAction

脆弱性情報

WordPress全バージョンのログイン画面に認証前XSS——管理者操作なしでPHP実行可能（CVE-2026-64638）

CVSS 8.9の認証前反射型XSSがWordPressのログイン画面に発見。pwn.aiが管理者セッションへの連鎖でPHPコード実行を実証。全バージョン影響のため即時アップデートが必須。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
WordPress全バージョンのログイン画面に認証前XSS——管理者操作なしでPHP実行可能（CVE-2026-64638）

THREAT GAUGE算出基準

IMPACT（影響範囲）9.0
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）8.5

“CVSS 8.9。全WordPressバージョン影響。PoC連鎖実証済みのため exploitability 高評価。”

01 · Overview

ニュースの概要

2026年8月7日、The Hacker Newsが報じたところによると、WordPressはログイン画面（wp-login.php）に存在する認証前の反射型クロスサイトスクリプティング（XSS）脆弱性（CVE-2026-64638、CVSS: 8.9）の修正を行った。セキュリティ研究機関pwn.aiは、ログイン中の管理者が攻撃者のコントロール下にあるページを閲覧するだけで、攻撃者がサーバー上のPHPコードを実行できることを実証した。

反射型XSSとは、攻撃者が細工したURLを被害者にクリックさせることで、ターゲットのブラウザ上で任意のJavaScriptを実行させる攻撃手法だ。今回の脆弱性はWordPressのログイン画面に存在しており、認証なしで悪用可能な点（Pre-Authenticationである点）が特に深刻だ。

pwn.aiの実証によれば、この反射型XSSをフィッシング等で管理者に踏ませた後、XSSを経由してプラグインのアップロードAPIを呼び出すことで、悪意あるPHPコードを含むプラグインをインストールし、サーバー上でのRCEに連鎖させることができるという。管理者が攻撃者のコントロール下にあるページを訪問する1回のインタラクションで攻撃が完結する。

WordPressは全世界のウェブサイトの43%以上で使われており、国内にも企業サイト・EC・メディアなど多数の利用組織が存在する。修正バージョンへのアップデートが未対応の状態では、管理者がフィッシングリンクをクリックするだけでサイト全体の制御を失う深刻なリスクがある。

CVE番号
CVE-2026-64638
CVSSスコア
8.9（High）
脆弱性種別
認証前反射型XSS→PHP RCE連鎖
影響バージョン
WordPress全バージョン（修正前）
実証者
pwn.ai
公開日
2026年8月7日

The Hacker Newsの見出し・要約をもとに作成。WordPress公式セキュリティアドバイザリで詳細を必ず確認のこと。調査継続中。

02 · Analysis

詳細な原因解説

直接原因は、wp-login.phpがユーザー入力値（URLパラメータ等）をHTMLコンテキストに出力する際のサニタイズ処理が不十分だった点にある。攻撃者が細工したパラメータをURLに埋め込んだリンクを被害者に踏ませることで、WordPressのログインページ上でJavaScriptが実行される。

この反射型XSSが深刻なのは、WordPressのプラグインインストールAPIへのアクセスがセッションCookieのみで保護されており、かつSameSite属性の設定によっては跨サイトでのAPI呼び出しが可能になるためだ。攻撃者はXSSでCookieを窃取するか、あるいはXSSコンテキストから直接WordPressのREST APIやAJAXエンドポイントを呼び出すことで、管理者セッションに乗っかった操作を行うことができる。

WordPressはオープンソースであり、そのコアコードは世界中の研究者・攻撃者から常に解析されている。ログイン画面は認証不要で誰でもアクセスできるため、ここに存在する脆弱性は攻撃面が非常に広い。さらに多くのホスティング環境ではWordPressの自動更新が無効化されているケースがあり、パッチ適用の遅延が問題になりやすい。

ホスティング会社が管理するマネージドWordPressサービスでは自動的にパッチが適用される場合もあるが、自社サーバーで運用しているケース、開発環境のWordPress、非公開の社内Wikiとして利用しているケース等では手動でのアップデート確認が必要だ。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER：XSS→RCE連鎖の「組み合わせ」攻撃の進化

Q. この攻撃手法を「組み合わせ（Combine）」「適用（Put to other uses）」することで攻撃者はどう応用するか？

今回の攻撃は「XSS（スクリプト実行）＋ WordPress Plugin API（権限昇格）＋ PHP（コード実行）」の3段連鎖だ。同様の「認証前XSS→管理者セッション悪用」パターンはWordPress以外のCMS（Drupal、Joomla等）や管理画面全般に転用（Put to other uses）できる。さらに攻撃を大規模化（Magnify）すれば、著名ブランドのWordPressログインページに見せかけたフィッシングサイトを大量展開し、管理者を誘い込むキャンペーン型攻撃も想定される。

システム思考：「ログイン画面」という最も広い攻撃面

Q. ログイン画面はなぜ脆弱性の温床になりやすく、その影響はシステム全体にどう波及するか？

ログイン画面は認証前に公開されていなければならないという設計上の制約から、必然的に攻撃面が最大化される。ここに脆弱性があると、攻撃者は事前の認証を一切必要とせず不特定多数のサイトを標的にできる。WordPressの場合、ログイン画面のURLが標準化されている（/wp-login.php）ため、大規模な自動スキャン・攻撃が容易だ。世界で4億サイト以上が稼働するWordPressの脆弱性は、その影響範囲がインターネット全体のインフラに及ぶと言っても過言ではない。

今すぐ実装できるWordPress防衛策

最も即効性が高いのはwp-admin/とwp-login.phpへのIPアクセス制限と、管理者アカウントへのMFA強制だ。これによりフィッシングリンクを踏んでも攻撃者が管理者セッションを悪用できるウィンドウを大幅に狭めることができる。

コンテンツセキュリティポリシー（CSP）ヘッダーの設定も有効だ。WordPressサイトにstrict-dynamicを含むCSPを設定することで、インラインスクリプトの実行を制限し、XSSが成立しても後段の攻撃連鎖を断ち切ることができる。ただしテーマ・プラグインとの互換性確認が必要なため、報告モード（Content-Security-Policy-Report-Only）で動作確認してから適用する。

06 · AI Prompt

AI対策プロンプト

私は[組織名]の[役職]で、[業種]のWordPressサイトを[サイト数]件管理しています。CVE-2026-64638（WordPress認証前XSS→PHP RCE）への対応として、（1）影響確認と緊急パッチ適用の手順、（2）管理者を狙ったフィッシング対策の社内周知文、（3）今後の予防的セキュリティ設定（WAF・MFA・自動更新・CSP）の設定ガイド、を担当者向けに実施手順書形式で作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自社または担当組織の名称

あなたの役職・担当領域

組織の業種（リスク評価に使用）

管理しているWordPressサイトの数

キーワード

  • WordPress
  • CVE-2026-64638
  • XSS
  • PHP RCE
  • CMS脆弱性

SOURCES · 参考情報源