wordpress-upgrade-check

サーバー上のすべてのサイトの WordPress コアバージョンを読み取り専用でチェックし、CVE-2026-87902（重大、認証不要、2026-09-22 に WordPress 7.1.2 で修正され、4.7 までのすべてのブランチにバックポート済み）の修正テーブルを提供します。

多くの WordPress サイトを管理する Web 制作会社や管理者向け：ホスティングアカウント全体で一度実行するだけで、1 つのリストが得られます。

日本語は下にあります

bash check.sh ~/public_html                         # every WordPress under the folder
bash check.sh --log ~/logs/access_log ~/public_html  # also search an access log for attack requests (.gz OK)
bash check.sh --online ~/public_html                 # also ask api.wordpress.org: core status, and every plugin / theme vs its latest version
bash check.sh --list ~/public_html                   # print every plugin and theme with its version
bash check.sh --csv inventory.csv ~/public_html      # write the plugin / theme inventory of all sites to a CSV

• サイトに対しては読み取り専用。 PHP、WP-CLI、サイトのコードを一切実行せず、wp-config.php の秘密情報も出力しません （確認するのは 2 つの自動更新定数のみ）。--csv は指定したファイルだけに書き込みます。
• --online 以外ではネットワークアクセスしません。--online の場合は api.wordpress.org に（あなたのサイトには決して接続せず）コア一覧を 1 回、プラグイン / テーマのスラッグごとに 1 回問い合わせます。なお、これにより wordpress.org にどのプラグインスラッグを確認しているかが伝わります。
• bash 3.2+（macOS）および Linux、SSH 付きの共有ホスティングで動作します。find、grep、sed、awk が必要です。
• 何かが CRITICAL の場合、終了コードは 1。

チェック内容

実際の WordPress の侵害のほとんどはプラグインが原因です。 CSV の一覧は、Wordfence Intelligence、WPScan、Patchstack などの脆弱性データベースと照合することを想定しています。有料またはカスタムのプラグインは wordpress.org にないため、CSV ではそのようにマークされ、ベンダーに確認できるようになっています。

修正済みバージョン（GHSA-7hp8-65ch-5whp より、2026-09-26 に api.wordpress.org/core/stable-check と照合）：

積極的にサポートされているのは最新リリース（7.1.x）のみで、古いブランチはこの修正を好意で受け取ったものです。

CRITICAL が報告された場合

1. 今すぐ更新：ダッシュボード → 更新、またはホストのコントロールパネル。可能であれば先にファイルとデータベースをバックアップしてください。
2. 攻撃リクエストに 200 で応答していた、またはインジケータファイルが存在する場合：サイトが侵害された可能性があるものとして扱ってください。 知らない管理者ユーザー、uploads および /tmp 内の PHP ファイルを探し、クリーンアップ後にパスワードと鍵を変更してください。
3. 更新できるまでの暫定措置：pagename に ../ や %2e%2e を含むリクエストを WAF でブロックしてください。

出典

• WordPress 7.1.2 Release (WordPress.org, 2026-09-22)
• GHSA-7hp8-65ch-5whp
• CVE-2026-87902: Attackers started probing WordPress sites hours after the patch (Patchstack) — 攻撃リクエスト、前提条件、インジケータ

制限事項

• プラグインとテーマについては、バージョン、新しいバージョンが存在するかどうか、wordpress.org が配布停止しているかどうかを把握します。どのバージョンが脆弱かは把握しません。CSV を脆弱性データベースと照合してください。
• インジケータは公開されているものです。[ok] はサイトが攻撃されたことがないことを証明するものではありません。

PHP 8 への移行もお考えですか？ php8-upgrade-check をご覧ください。

日本語

サーバーにあるすべての WordPress の本体の版を、読み取りだけで確かめるスクリプトです。 2026-09-22 の WordPress 7.1.2 で直った重大な脆弱性 CVE-2026-87902（ログイン不要）の修正済みの版を、系列ごとに持っています。

bash check.sh ~/public_html                         # フォルダの下の WordPress を全部
bash check.sh --log ~/logs/access_log ~/public_html  # アクセスログから攻撃の痕跡も探す（.gz も可）
bash check.sh --online ~/public_html                 # wordpress.org に、本体とプラグイン・テーマが最新か・危険かも問い合わせる
bash check.sh --list ~/public_html                   # プラグインとテーマを版つきで一覧に
bash check.sh --csv inventory.csv ~/public_html      # 全サイトのプラグイン・テーマの一覧を CSV に

• サイトに対しては読み取りだけです。PHP も WP-CLI もサイトのコードも実行せず、wp-config.php の秘密の値も表示しません
• --online のときだけ api.wordpress.org に問い合わせます（本体の一覧で 1 回、プラグイン・テーマごとに 1 回。あなたのサイトには接続しません）
• wordpress.org で「セキュリティの問題」で配布停止になったプラグインが入っていたら CRITICAL にします。修正が二度と出ないためです
• WordPress の実際の被害は、プラグインの脆弱性によるものが多いです。CSV の一覧を、Wordfence・WPScan・Patchstack などの脆弱性データベースと照らし合わせてください
• レンタルサーバーでも、SSH が使えれば動きます

CRITICAL が出たら

1. すぐ更新する（管理画面の「更新」、またはサーバー会社の管理画面）。できれば先にバックアップ
2. 攻撃の通信に 200 で応えていた、または痕跡のファイルがあった場合は、侵入された前提で調べる （知らない管理者ユーザー、uploads や /tmp の PHP ファイル。掃除のあとでパスワードと鍵を変える）
3. すぐ更新できない間は、pagename に ../ や %2e%2e を含む通信を WAF で止める

更新を代わりに行う定額のメニューもあります（1 サイト・税別 5 万円）： WordPress・PHP の更新（IT.Skill）

License

MIT