WordPress 7.0.2がリリース｜重大な脆弱性を修正

2026年7月17日、WordPress 7.0.2がリリースされました。

今回のWordPress 7.0.2は、新機能の追加や操作画面の改善を目的とした通常のメンテナンスアップデートではありません。重大度の高い2件の脆弱性を修正するセキュリティリリースです。

WordPress公式は、影響を受けるバージョンを利用しているサイトに対して、直ちにアップデートするよう呼びかけています。また、脆弱性の深刻度を考慮し、対象サイトには自動更新システムを通じた強制アップデートも有効化されています。

この記事では、WordPress 7.0.2で修正された問題と、サイト管理者が行うべき対応を分かりやすく解説します。

WordPress 7.0.2の概要

WordPress 7.0.2の主な内容は、次のとおりです。

SQLインジェクションにつながる脆弱性の修正
REST APIとSQLインジェクションを組み合わせたリモートコード実行の脆弱性を修正
影響を受ける旧バージョンにも修正版を提供
深刻度が高いため、自動更新による強制アップデートを実施
新機能やデザイン変更は含まれない

今回変更されたWordPress本体のファイルは3つのみで、外部パッケージの更新はありません。

修正された2件のセキュリティ問題

1．WP_Queryに関するSQLインジェクションの脆弱性

1件目は、WordPressで投稿や固定ページなどの情報を取得する際に使用される、WP_Queryに関する脆弱性です。

具体的には、author__not_inという投稿者を除外するためのパラメータを不適切に処理した場合、SQLインジェクションにつながる可能性がありました。

SQLインジェクションとは、Webサイトからデータベースへ送られる命令文に不正な文字列を混入させ、想定外のデータベース操作を実行させる攻撃です。

この脆弱性の影響を受けるバージョンは、次のとおりです。

WordPress 6.8.0から6.8.5
WordPress 6.9.0から6.9.4
WordPress 7.0.0から7.0.1

修正済みのバージョンは、WordPress 6.8.6、6.9.5、7.0.2です。

2．リモートコード実行につながる重大な脆弱性

2件目は、WordPressのREST APIにおける一括処理用ルートの混同と、前述のSQLインジェクションを組み合わせることで、リモートコード実行につながる可能性がある問題です。

リモートコード実行とは、攻撃者がインターネット経由で対象サーバー上のプログラムや命令を実行できる状態を指します。

悪用された場合には、サイトの改ざん、不正ファイルの設置、管理者権限の奪取、外部サイトへの転送などにつながる可能性があります。

この脆弱性の影響を受けるバージョンは、次のとおりです。

WordPress 6.9.0から6.9.4
WordPress 7.0.0から7.0.1

WordPress 6.9より前のバージョンでは、REST APIの問題とSQLインジェクションを組み合わせたリモートコード実行の影響は受けません。

修正済みのバージョンは、WordPress 6.9.5と7.0.2です。WordPress 7.1のベータ版についても、修正を含む7.1 Beta 2が公開されています。

影響を受けるWordPressのバージョン

使用中のWordPressによって、必要な更新先が異なります。

現在のバージョン	影響	更新先
WordPress 7.0.0～7.0.1	2件とも影響を受ける	WordPress 7.0.2
WordPress 6.9.0～6.9.4	2件とも影響を受ける	WordPress 6.9.5
WordPress 6.8.0～6.8.5	SQLインジェクションの影響を受ける	WordPress 6.8.6
WordPress 6.7以前	今回の2件の対象外	最新版への更新を推奨
WordPress 7.1 Beta 1	2件とも影響を受ける	WordPress 7.1 Beta 2

WordPress 6.7以前は今回公表された脆弱性の影響を受けません。ただし、WordPress公式が積極的にサポートしているのは最新バージョンであるため、古いバージョンを使い続けることが安全という意味ではありません。

WordPress 7.0.2で変更されたファイル

WordPress公式の変更履歴によると、今回修正されたファイルは次の3つです。

/wp-includes/rest-api/class-wp-rest-server.php
/wp-includes/class-wp-query.php
/wp-includes/rest-api.php

変更箇所は、REST APIの処理と投稿データを取得するWP_Queryに集中しています。

また、JavaScriptライブラリなどの外部パッケージは更新されていません。

WordPress 7.0.2への更新方法

WordPressの管理画面から更新できます。

WordPressの管理画面にログインする
「ダッシュボード」を開く
「更新」を選択する
WordPress 7.0.2が表示されていることを確認する
「今すぐ更新」をクリックする

自動バックグラウンド更新に対応しているサイトでは、自動的にWordPress 7.0.2への更新が開始される場合があります。

更新後は、管理画面の「ダッシュボード」から「更新」を開き、「現在のバージョン」が7.0.2になっていることを確認してください。

更新前に確認しておきたいこと

今回は緊急性の高いセキュリティアップデートですが、可能であれば更新前にバックアップを取得しておきます。

最低限、次のデータを保存しておくと安心です。

WordPressのデータベース
wp-contentフォルダ
使用しているテーマ
有効化しているプラグイン
wp-config.php
.htaccess

レンタルサーバーの自動バックアップ機能を利用している場合は、更新前の復元データが残っているか確認します。

ただし、今回のアップデートは重大な脆弱性への対応です。バックアップ作業を理由に何日も更新を延期するのではなく、バックアップを確認したうえで速やかに更新することが重要です。

更新後に確認する項目

WordPress 7.0.2への更新後は、サイト全体を簡単に確認します。

サイトの表示

トップページ、投稿ページ、固定ページ、問い合わせページなどを開き、レイアウトが崩れていないか確認します。

管理画面

投稿編集画面、固定ページ編集画面、メディアライブラリなどが正常に開くか確認します。

問い合わせフォーム

Contact Form 7などのフォームを使用している場合は、実際にテスト送信し、メールが届くか確認します。

キャッシュ

キャッシュプラグインやサーバーキャッシュを使用している場合は、更新後にキャッシュを削除します。

エラーログ

サーバーのエラーログやWordPressのデバッグログを確認できる場合は、新しいエラーが発生していないか確認します。

自動更新された場合も確認が必要

今回は脆弱性の深刻度が高いため、WordPress.orgチームは影響を受けるバージョンに対して、強制的な自動更新を有効化しています。

自分で更新操作をしていなくても、すでにWordPress 7.0.2へ更新されている可能性があります。

ただし、自動更新が必ず成功するとは限りません。ファイルの書き込み権限、サーバー設定、独自の更新制限などによって、自動更新が実行されない場合もあります。

管理画面にログインし、使用中のバージョンを確認してください。

WordPress 7.0.2で新機能は追加されたのか

WordPress 7.0.2には、目立った新機能や編集画面の変更はありません。

今回の目的は、WordPress 7.0と7.0.1などに存在する脆弱性を修正することです。

そのため、更新後も投稿編集画面やサイトの表示に大きな変化はありません。機能追加がないから更新を見送るのではなく、セキュリティ対策として適用する必要があります。

アップデート後に不審な状態がないか確認する

今回の脆弱性が実際に悪用されたかどうかは、WordPressのバージョンを更新するだけでは判断できません。

更新前から不審な動作が発生していた場合は、次の項目も確認します。

見覚えのない管理者ユーザーが追加されていないか
身に覚えのないプラグインがインストールされていないか
テーマやプラグインのファイルが書き換えられていないか
不審なPHPファイルが設置されていないか
海外サイトや広告ページへ転送されていないか
投稿や固定ページに不審なリンクが追加されていないか
サーバーのアクセスログに不審な通信がないか

不審なファイルや管理者アカウントが見つかった場合は、単に削除するだけでなく、管理者パスワード、サーバーのパスワード、FTPやSSHの認証情報、データベースのパスワードなども変更する必要があります。

まとめ

WordPress 7.0.2は、重大度の高い脆弱性を修正するセキュリティアップデートです。

主な修正内容は、WP_Queryに関するSQLインジェクションと、REST APIの問題を組み合わせることでリモートコード実行につながる脆弱性への対応です。

特にWordPress 7.0.0または7.0.1を使用しているサイトは、2件の脆弱性の影響を受けます。WordPress公式も即時更新を推奨しており、対象サイトには強制的な自動更新も有効化されています。

管理画面から現在のバージョンを確認し、WordPress 7.0.2になっていない場合は速やかに更新しましょう。

更新後はサイト表示、管理画面、問い合わせフォームなどを確認し、キャッシュの削除も行います。また、見覚えのない管理者や不審なファイルがないか確認しておくことも重要です。

参考情報

WordPress 7.0.2 Release
WordPress 7.0.2のリリース概要と、早急なアップデートを促す公式発表です。
WordPress Version 7.0.2 Documentation
WordPress 7.0.2で修正されたセキュリティ問題や変更ファイルを確認できます。
Facilitated SQL injection vulnerability（GHSA-fpp7-x2x2-2mjf）
WP_Queryの処理に関するSQLインジェクション脆弱性の詳細です。
CVE-2026-60137
SQLインジェクション脆弱性に割り当てられたCVE情報です。
REST API batch-route confusion and SQL injection issue（GHSA-ff9f-jf42-662q）
REST APIとSQLインジェクションを組み合わせることで、リモートコード実行につながる脆弱性の詳細です。
CVE-2026-63030
リモートコード実行につながる脆弱性に割り当てられたCVE情報です。