2026年8月12日、WordPress 7.0.4が正式にリリースされました。
今回のWordPress 7.0.4は、新しい機能を追加するためのアップデートではなく、リモートコード実行（RCE）につながる可能性のある脆弱性を修正するセキュリティリリースです。
WordPress 7.0.3が公開されたのは8月6日でしたので、わずか6日後に新たなセキュリティアップデートが公開されたことになります。
ただし、7.0.3の修正に問題があったため7.0.4が公開されたわけではありません。
7.0.3公開後に別のセキュリティ問題への対応が行われたため、通常の更新周期を待たずに7.0.4が公開されました。
WordPressを利用している場合は、現在のバージョンを確認し、必要に応じて早めに更新しておきましょう。
WordPress 7.0.4はセキュリティリリース
WordPress 7.0.4で修正されたのは、悪意あるファイルのアップロードをきっかけとして、サーバー上で任意のコードを実行される可能性がある脆弱性です。
この脆弱性には、
CVE-2026-65640
という識別番号が割り当てられています。
WordPress公式のSecurity Advisoryでは、重要度は「High」とされ、CVSSスコアは8.8と評価されています。
今回の問題は、WordPressの画像処理と、サーバー側で利用されるImagick・Ghostscriptの組み合わせに関係しています。
リモートコード実行（RCE）とは
RCEは「Remote Code Execution」の略で、日本語ではリモートコード実行と呼ばれます。
簡単にいえば、Webサイトとは離れた場所にいる攻撃者が、何らかの脆弱性を利用してWebサーバー上で本来許可されていないプログラムや命令を実行できる可能性がある状態です。
攻撃が成立すると、条件によっては、
- Webサイトの改ざん
- 不正プログラムの設置
- サーバー内の情報へのアクセス
- さらなる攻撃の足掛かりとして利用される
といった被害につながる可能性があります。
そのためRCEは、Webサイトのセキュリティでは注意が必要な脆弱性のひとつです。
今回の脆弱性は誰でも無条件に攻撃できるものではない
ここは誤解しないようにしておきたいポイントです。
WordPress 7.0.4で修正された脆弱性は、WordPressサイトへアクセスしただけで誰でも簡単に攻撃できるというものではありません。
WordPress公式のSecurity Advisoryでは、攻撃が成立する主な条件として、
- サーバーでImagickが利用されている
- Ghostscriptが利用されている
- 攻撃者がファイルをアップロードできる権限を持っている
ことが示されています。
つまり、攻撃には複数の条件が必要です。
WordPressでは通常、投稿者（Author）など、メディアファイルをアップロードできる権限を持ったユーザーが関係する可能性があります。
ただし、条件付きの脆弱性だからといって更新する必要がないという意味ではありません。
利用しているサーバーの構成を正確に把握していないケースも多いため、WordPressを最新の状態にしておくことが基本的な対策となります。
ImagickとGhostscriptとは
今回の脆弱性を理解するうえで登場するのが「Imagick」と「Ghostscript」です。
Imagick
Imagickは、WordPressなどのWebアプリケーションから画像を加工・変換するために利用されるPHP拡張機能です。
WordPressでは、アップロードされた画像のリサイズやサムネイル生成などに利用される場合があります。
Ghostscript
Ghostscriptは、PDFやPostScriptなどのファイルを処理するために利用されるソフトウェアです。
今回の問題では、WordPressからImagickを経由してGhostscriptによるファイル処理が行われる環境が関係しています。
普段WordPressを利用しているだけでは、これらのソフトウェアを意識することはほとんどありません。
そのため、「自分のサーバーでは使っていない」と判断できない場合も、WordPress側を最新バージョンへ更新しておく方が安全です。
WordPress 7.0.3からわずか6日で7.0.4が公開
WordPress 7.0.3は2026年8月6日に公開され、12件のセキュリティ問題が修正されました。
そして、そのわずか6日後となる8月12日にWordPress 7.0.4が公開されています。
非常に短い間隔ですが、7.0.3のアップデートに失敗や修正漏れがあったため、急いで7.0.4を公開したという意味ではありません。
7.0.4では、7.0.3で対応した脆弱性とは別のリモートコード実行につながる可能性のある問題への対応が行われています。
セキュリティ上の問題は通常の機能追加とは異なり、脆弱性が確認されて修正版の準備が整えば、前回のリリースからの日数にかかわらず公開されます。
短期間で7.0.4が公開されたのは、新たなセキュリティ問題へ迅速に対応した結果と考えるのが適切です。
WordPress 7.0系の最近のアップデート
WordPress 7.0の正式公開以降、次のように更新されています。
| バージョン | リリース日 | 主な内容 |
|---|---|---|
| WordPress 7.0 | 2026年5月20日 | メジャーリリース |
| WordPress 7.0.1 | 2026年7月9日 | 31件の不具合修正 |
| WordPress 7.0.2 | 2026年7月17日 | セキュリティ修正 |
| WordPress 7.0.3 | 2026年8月6日 | 12件のセキュリティ修正 |
| WordPress 7.0.4 | 2026年8月12日 | RCE脆弱性の修正 |
7.0.2以降はセキュリティアップデートが続いています。
だからといって「WordPress 7.0は危険」と単純に判断するのではなく、発見された脆弱性に対して修正版が継続的に提供されていると捉える必要があります。
古いWordPressにも修正版が提供
今回の脆弱性はWordPress 7.0.3だけに関係する問題ではありません。
影響を受ける過去のWordPressについても修正版が用意されており、6.9系、6.8系、6.7系などにもセキュリティ修正がバックポートされています。
ただし、WordPressを長期間古いバージョンのまま使用するよりも、テーマやプラグイン、PHPなどとの互換性を確認しながら、可能であれば最新バージョンを利用することが望ましいでしょう。
WordPress 7.0.4へのアップデート方法
WordPress 7.0.4への更新方法は、これまでのWordPressアップデートと基本的に同じです。
WordPress管理画面から、
「ダッシュボード」→「更新」
を開き、WordPress 7.0.4への更新が表示されている場合は「今すぐ更新」からアップデートできます。
サイトの設定によっては、自動バックグラウンド更新によってすでに7.0.4へ更新されている場合もあります。
まず現在使用しているWordPressのバージョンを確認してみてください。
更新前にはバックアップを確認
今回はセキュリティアップデートのため早めの更新が重要ですが、本番サイトを更新する前にはバックアップを確認しておきましょう。
特に、
- 独自カスタマイズを行っているサイト
- 多数のプラグインを使用しているサイト
- WooCommerceなどを利用したECサイト
- 会員がファイルをアップロードできるサイト
では、データベースとWordPressファイルを復元できる状態にしてから更新すると安心です。
更新後は、管理画面へのログインや問い合わせフォームなどに加えて、メディアライブラリへの画像アップロードやサムネイル生成が正常に動作するかも確認しておくとよいでしょう。
WordPress 7.0.4は早めのアップデートを
WordPress 7.0.4は、新機能を追加するアップデートではなく、リモートコード実行につながる可能性のある脆弱性「CVE-2026-65640」を修正するセキュリティリリースです。
実際に攻撃を成立させるには、Imagick・Ghostscriptの利用やファイルアップロード権限など複数の条件があります。
しかし、自分が利用しているサーバーの内部構成をすべて把握しているとは限りません。
WordPress 7.0.3からわずか6日でのアップデートとなりましたが、7.0.3の修正ミスではなく、新たなセキュリティ問題へ対応するための更新です。
WordPressサイトを運営している場合は、現在のバージョンを確認し、バックアップを確認したうえでWordPress 7.0.4への早めの更新を検討してください。
参考リンク
本記事の内容について、詳しい情報は以下のWordPress公式ページをご確認ください。