【2025年12月版】WordPressの脆弱性情報一覧

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事は、WordPress本体の脆弱性情報をまとめたもので、2025年12月10日に改訂したものとなります。

WordPressはウェブサイトやブログを作成、管理するためのオープンソースのCMS（コンテンツ・マネジメント・システム）です。
このWordPressは世界で最も利用されているCMSであり、W3Techsによれば、世界中のWebサイトの約43.2％がWordPressで構築されているとのことです。

一方で、世界で最も利用されているCMSであるからこそ、その脆弱性をついたサイバー攻撃の標的になりやすいという特徴も有しています。

近年、特に2013年以降におけるWordPressの脆弱性は、テーマやプラグインに関するものが多くを占めていますが、WordPress本体（コア）に関する脆弱性への対応が重要であることは変わりません。

そこで、この記事ではWordPress本体（コア）の脆弱性情報をまとめることで、企業のWeb担当者の皆様が、ご使用になられているWordPressの脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

WordPressの最新バージョンは6.9系統です。

あまり知られていませんが、WordPressのセキュリティサポートは最新バージョンのみとなります。

2025年12月10日現在、最新バージョンは6.9（2025年12月2日リリース）ですので、それ以前のバージョンは 公式のフルサポート対象外となります。

とはいえ、WordPress では実際に古いバージョンに対しても、可能な範囲でセキュリティ修正がバックポートされることがあることから、最新バージョンではないからセキュリティサポートが無いということではありません。
各バージョンとサポート状況については、「WordPressのバージョン情報とサポート期限」をご確認ください。

しかしながら、このバックポート対応は、「礼儀として」「重要度が高い脆弱性」に対して行われるものであって、全ての脆弱性に対する修正が保証されているわけではないことに注意が必要です。

実際に、当社が把握している限りでも、①（特定の条件下でしか発現しないなど）影響範囲が小さいわりに修正にコストがかかる場合（例：CVE-2023-5692）や、②内部機構の追加が必要で旧ブランチへのバックポートが技術的に困難な場合（例：CVE-2021-44223）、には、バックポートがされていないようです。

WordPress公式は、常に最新バージョンへアップグレードする運用を強く推奨しています。

WordPress本体（コア）に関する脆弱性で、2023年以降に発見されたものについては、CVSS v3にて緊急（9.0～10.0）、重要（7.0～8.9）、警告（4.0～6.9）に区分される脆弱性情報を掲載しています。

WordPress本体（コア）に関する脆弱性で、2022年以前に発見されたものについては、CVSS v3にて緊急（9.0～10.0）に区分される脆弱性情報のみを掲載しています。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。CVEが採番されていない脆弱性については、現時点では掲載しておりません。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。前述の掲載ルール外の脆弱性情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。NVDにてスコアリングされていない場合にはWordFenceのスコアを掲載しています。
※原則としてJVNのページを正としていますが、JVNに掲載されていない情報などについてはNVDのサイトを参照しています。
※本記事における脆弱性情報は、当社が把握している情報の一部であり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

まず、WordPressで構築されたWebサイトの動作テストを行うための環境を構築し、同環境内で各種バージョンアップ業務と不具合の解決を実施していきます。
WordPressサイトが適切に管理されている場合には、いわゆるステージング環境（テスト環境）が用意されていることが多いため、通常はこちらを利用します。

もしステージング環境が存在しない場合には、このステージング環境の構築からスタートします。
また、運用方針によってはステージング環境とは別にディベロップ環境を構築し、そちらでバージョンアップ業務をテストしていくこともあります。

いずれにせよ、トラブル時に元の状態に戻せるようにバックアップをしっかりと保管しておく必要があります。

次に、ミドルウェアであるPHPのバージョンアップを実施します。

WordPressはPHPというプログラム言語で開発されており、PHPのバージョンが一定以下だと最新のWordPressが正常に挙動しないということが起こりえます。

WordPressの各バージョンに対応するPHPのバージョンについては、下記ページを参照してください。
・WordPressと対応するPHPのバージョン情報

なお、PHP自体に脆弱性が見つかるため、セキュリティ対策の面でもPHPのバージョンアップを実施する必要があります。
PHPの脆弱性情報については、下記ページを参照してください。
・PHP8.4の脆弱性情報一覧
・PHP8.3の脆弱性情報一覧
・PHP8.2の脆弱性情報一覧
・PHP8.1の脆弱性情報一覧
・PHP8.0の脆弱性情報一覧
・PHP7.4の脆弱性情報一覧
・PHP7.3の脆弱性情報一覧
・PHP7.2の脆弱性情報一覧
・PHP7.1の脆弱性情報一覧
・PHP7.0の脆弱性情報一覧
・PHP5.6の脆弱性情報一覧

近年のPHPはバージョンが新しくなればなるほど処理速度が速くなるように開発が進められています。
WordPressで構築されたWebサイトの表示速度を向上させるためにも、PHPのバージョンアップは重要になります。

また、WordPressは、MySQLないしMariaDBというオープンソースのリレーショナルデータベース管理システム（RDBMS）のどちらかを選択して使用する必要があるため、WordPressのバージョンアップにあたっては、MySQLのバージョンアップとセットで計画・実施せねばならないことがあります。

WordPressの各バージョンに対応するMySQL及びMariaDBのバージョンについては、下記ページを参照してください。
・WordPressと対応するMySQLのバージョン情報
・WordPressと対応するMariaDBのバージョン情報

MySQL及びMariaDBの脆弱性情報については、下記ページを参照してください。
・MySQLの脆弱性情報一覧
・MariaDBの脆弱性情報一覧

以上のバージョンアップ作業を実施した後、本番環境に反映させます。
本番環境に反映後も、挙動テストを実施します。

前述のように、WordPressはPHPをはじめとするミドルウェア（MySQLやApache）や、WordPress上で動作するテーマやプラグインとの依存関係に留意しながら、バージョンアップを行う必要があります。

また、Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、WordPressについては得意な会社が多いと思いますが、PHPを含めたミドルウェアについては対応されていない会社も多いと思います。