【2026年10月版】WordPressの脆弱性情報一覧

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

本記事は、WordPress本体の脆弱性情報をまとめたもので、2026年10月30日に改訂したものとなります。

WordPressはウェブサイトやブログを作成、管理するためのオープンソースのCMS（コンテンツ・マネジメント・システム）です。
このWordPressは世界で最も利用されているCMSであり、W3Techsによれば、世界中のWebサイトの約39.5％がWordPressで構築されているとのことです。

一方で、世界で最も利用されているCMSであるからこそ、その脆弱性をついたサイバー攻撃の標的になりやすいという特徴も有しています。

近年、特に2013年以降におけるWordPressの脆弱性は、テーマやプラグインに関するものが多くを占めていますが、WordPress本体（コア）に関する脆弱性への対応が重要であることは変わりません。

そこで、この記事ではWordPress本体（コア）の脆弱性情報をまとめることで、企業のWeb担当者の皆様が、ご使用になられているWordPressの脆弱性を簡単に把握できるようにしたいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

2026年10月30日現在、最新メジャーバージョンはWordPress 7.1系統で、最新安定版はWordPress 7.1.4です。

あまり知られていませんが、WordPress公式が「公式にサポートされるバージョン」として位置づけているのは、最新メジャーリリースのみです（公式サイトのSupported Versionsをご確認ください）。
それ以前のメジャーバージョンは 公式にサポートされるバージョンには該当しません。

とはいえ、WordPress では実際に古いバージョンに対しても、可能な範囲でセキュリティ修正がバックポートされることがあることから、最新バージョンではないからセキュリティサポートが無いということではありません。
各バージョンとサポート状況については、「WordPressのバージョン情報とサポート期限」をご確認ください。

しかしながら、公式サイトによれば、このバックポート対応は、“as a courtesy”（礼儀として）“critical security fixes”（重要なセキュリティ修正）を受け取れるものであって、全ての脆弱性に対する修正が保証されているわけではないことに注意が必要です。

実際に、CVE-2023-5692やCVE-2021-44223など、旧バージョンにバックポートされていない脆弱性も存在します。

いずれにせよ、WordPress公式は、常に最新バージョンへアップグレードする運用を強く推奨しています。

WordPress本体（コア）に関する脆弱性で、2023年以降に公表されたものを掲載しています。

WordPress本体（コア）に関する脆弱性で、2017年から2022年以前に公表されたものについては、CVSS v3にて緊急（9.0～10.0）に区分される脆弱性情報のみを掲載しています（2016年以前に公表されたものについては割愛しています）。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※本表には、CVEが採番された脆弱性に加え、WordPress公式がセキュリティリリースで修正を公表した問題や、信頼できる脆弱性データベースが公開している脆弱性情報も掲載しています。CVE番号を確認できない場合は、評価値を確認できた採点元へのリンクを記載しています。
※深刻度の数値は、CVSS v4.0基本値を優先し、v4.0がない場合はv3.x基本値を記載します。また、米国国立標準技術研究所（NIST）が運営するNational Vulnerability Database（NVD）自身の評価を優先しています。NVD自身の評価値が確認できない場合は、NVDに掲載されているCNA、WordPress公式GitHubアドバイザリ、Wordfence、Patchstack、WPScanの順に確認し、最初に評価値を確認できた採点元の数値を掲載しています。
※Tenableのプラグイン115165やコアクラスのPoPチェーンの悪用を防ぐための防御強化のように第三者機関が個別のCVSSなどを確定できていない情報については、掲載を見送っています。
※本記事における脆弱性情報は、当社が把握している情報の一部であり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

前述のように、WordPressはPHPをはじめとするミドルウェア（MySQLやApache）や、WordPress上で動作するテーマやプラグインとの依存関係に留意しながら、バージョンアップを行う必要があります。

また、Web制作会社はいわゆるWebアプリケーション側（WebサイトやCMS等）を専門としていますので、WordPressについては得意な会社が多いと思いますが、PHPを含めたミドルウェアについては対応されていない会社も多いと思います。