---

📌 概要

CVE-2026-64638 は、WordPress のログイン画面に影響を与える、重大度の高い認証前リフレクト型クロスサイトスクリプティング (XSS) の脆弱性です。

特定の条件下では、この欠陥を連鎖させてサーバー上でのリモートコード実行 (RCE) にまで昇格させることが可能です (研究者はこの連鎖を XSS2Shell と呼んでいます)。

---

🔍 技術概要

この脆弱性は、WordPress がログイン失敗時にユーザー名を処理する方法に存在します。

• 入力は sanitize_user() と wp_strip_all_tags() (PHP の strip_tags() に依存) を通過します。
• その後の wp_kses_post() による処理では、空白を含む特定のタグ風ペイロードが生き残り、ライブな DOM 要素になることができます。
• これらの要素は、ログインページに読み込まれる WordPress 自身の JavaScript (user-profile.js) と相互作用します。
• 攻撃者は REST API / JSONP の動作と同一生成元 (same-origin) の手法を利用して、さらに昇格させることができます。

完全な RCE パスには以下が必要です:

1. 被害者がすでに単一サイトの管理者 (Administrator) としてログインしていること
2. 攻撃者が制御するページとの明示的な操作 (通常は1回のクリック)
3. 特定の WordPress 機能が揃っていること (アプリケーションパスワード、プラグインアップロード機能など)

⚠️ WordPress は、RCE への昇格の成功は攻撃者の完全な制御の及ばない条件に依存し、ソーシャルエンジニアリングが必要であると指摘しています。

---

📦 影響を受けるバージョンと修正済みバージョン

• 4.7.0 から 7.0.2 までのすべてのバージョンが影響を受けます。
• 4.7 より前のバージョンは脆弱なままですが、現在のバックポートサポートの対象外です。

---

✅ 緩和策と推奨事項

🚨 直ちに更新してください

• WordPress 7.0.3 (またはお使いのブランチに対応するセキュリティリリース) にアップグレードしてください。
• 自動バックグラウンド更新が有効なサイトは、自動的に修正が適用されます。
• 完全な緩和策として、ハードニングプラグインや CSP のみに依存しないでください — コアのパッチが必要です。
• 管理者には、WordPress ダッシュボードにログイン中は不審なリンクをクリックしないよう推奨してください。

---

📎 公式リファレンス

• GitHub セキュリティアドバイザリ
  GHSA-52p2-r8wf-jcrf

• WordPress 7.0.3 リリース
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• 技術分析
  The Hacker News – New WordPress Pre-Auth XSS

---