コマンドラインから、WordPress のコア、テーマ、プラグインに存在する既知の CVE をスキャンします。オープンソースで監査可能、プライバシーを最優先に設計されています — ValtersIT CVE API を基盤としています。
ValtersIT プラットフォームの一部です — 自分でクエリを実行したり、自分で運用したりできる CVE および脅威 IP データを提供します。 API とスキャナーの両方をご覧ください: https://www.valtersit.com/platform/ スキャナーのプランと料金: https://www.valtersit.com/cve/pricing/#scanners
実行したマシン上で、WordPress コアのバージョン、インストールされているすべてのテーマ、およびインストールされているすべてのプラグイン（正確なバージョンを含む）を検出します。WP-CLI が利用可能な場合は、どのテーマが有効か、またどのプラグインが有効でどれがインストールされているだけかを報告します。利用できない場合は、ディスク上で確認できるすべてを一覧表示します。スキャン対象はローカルファイルシステム上に物理的に存在する WordPress インストールのみで、URL を渡すと実行を拒否します。その後、そのコンポーネント一覧を ValtersIT API に送信し、一致する CVE を報告します。
wordpress-core 6.7.1、WordPress Plugin akismet 5.3.3）、および同一インストールの再スキャンを同じシステムとして認識するための、ローカルで生成されるランダムな識別子。name + version（およびそのランダムな識別子）以外の何も、このスクリプトから外部に送信されることはありません。wp CLI を呼び出します — wp-config.php を開いたり、MySQL に直接接続したりすることは決してありません）、ファイルのアップロードは行いません、スキャン送信呼び出し自体以外のバックグラウンドでの外部通信は行いません。valtersit-wp-scan.py と valtersit_client.py をお読みください。それ以外に動作しているものはありません。リポジトリをクローンします:
# GitHub
git clone https://github.com/hugovalters/wordpress-cve-scanner
cd wordpress-cve-scanner
# GitLab
git clone https://gitlab.com/valtersit/wordpress-cve-scanner
cd wordpress-cve-scanner
または、ワンライナー（git 不要）：
# GitHub
mkdir -p wordpress-cve-scanner && cd wordpress-cve-scanner
curl -fsSLO https://raw.githubusercontent.com/hugovalters/wordpress-cve-scanner/main/valtersit-wp-scan.py
curl -fsSLO https://raw.githubusercontent.com/hugovalters/wordpress-cve-scanner/main/valtersit_client.py
# GitLab
mkdir -p wordpress-cve-scanner && cd wordpress-cve-scanner
curl -fsSLO https://gitlab.com/valtersit/wordpress-cve-scanner/-/raw/main/valtersit-wp-scan.py
curl -fsSLO https://gitlab.com/valtersit/wordpress-cve-scanner/-/raw/main/valtersit_client.py
APIキーを設定します — どちらの方法でも動作します:
# Method 1: environment variable (recommended)
export VALTERSIT_API_KEY="vit_v1_your_key_here"
# Method 2: edit one line directly in valtersit_client.py
# API_KEY = "vit_v1_your_key_here"
valtersit.com/cve/pricing でキーを取得します。
実行します:
python3 valtersit-wp-scan.py --path /var/www/html
# or, if run from inside the WordPress root, --path can be omitted
標準の Python 3 インタプリタ（3.7 以上）のみが必要です。pip install は不要です。
ValtersIT WordPress Scanner - target: /var/www/html
Detection method: WP-CLI (active/inactive known)
==============================================================================
WORDPRESS CORE
==============================================================================
Component Version
-------------------------------------
wordpress-core 6.7.1
1 item(s) detected. No IP address, hostname, MAC address, file
contents, or credentials were read or transmitted by this scan.
==============================================================================
==============================================================================
ACTIVE / INSTALLED THEMES (2)
==============================================================================
Slug Version Status
--------------------------------------------------------
twentytwentyfour 1.2 active
twentytwentythree 1.4 inactive
...
==============================================================================
INSTALLED PLUGINS (14)
==============================================================================
Slug Version Status
------------------------------------------------------------
akismet 5.3.3 active
woocommerce 9.4.1 active
...
[+] Scan submitted. 17 component(s) sent for matching.
{
"matched_cves": 2,
"results": [
{"slug": "woocommerce", "version": "9.4.1", "cve_id": "CVE-2026-31842", "cvss": 8.1, "patched_in": "9.4.3"},
{"slug": "akismet", "version": "5.3.3", "cve_id": "CVE-2025-90210", "cvss": 5.4, "patched_in": "5.3.4"}
]
}
次にすべきこと: 上記の cve_id を https://www.valtersit.com/cve/CVE-XXXX-XXXXX/ と照合して、完全な解説（CVSS、EPSS、エクスプロイトの入手可否、パッチのガイダンス）を確認してから、最初に何を更新するかを決めてください。インストール済みのバージョンより新しい patched_in バージョンを持つものは、優先リストになります。
Cron で毎日 04:00 に非対話で実行（事前に authorised-use のプロンプトを一度対話的に確認しておく必要があります）:
0 4 * * * cd /opt/wordpress-cve-scanner && VALTERSIT_API_KEY=vit_v1_xxx /usr/bin/python3 valtersit-wp-scan.py --path /var/www/html --yes >> /var/log/valtersit-wp-scan.log 2>&1
ワンライナー:
VALTERSIT_API_KEY=vit_v1_xxx python3 valtersit-wp-scan.py --path /var/www/html --yes
クリーンな新規システム: Python 3（ほぼすべての Linux ディストリビューションにデフォルトで存在）をインストールし、オプションで WP-CLI をインストールして有効/無効なプラグインとテーマのステータスを取得します。このリポジトリをクローンし、VALTERSIT_API_KEY を設定し、認可された使用であることを確認するために一度対話的に実行した後、上記の cron 行を追加します。
既存の本番システム: WordPress インストール自体に変更を加える必要はありません — このツールは読み取りのみを行い、wp-content への書き込みは一切行わず、データベースにも触れず、何も再起動しません。2 つのファイルを、実行するユーザーが読み取り可能な任意の場所に配置します（低権限のユーザーで十分です。www-data や root である必要はなく、WordPress ディレクトリへの読み取りアクセスのみが必要です）。API キーをエクスポートし、スケジュール設定の前に一度手動で実行します。
このツールは、あなたが所有する WordPress インストール、または評価について明示的な書面による認可を得ている WordPress インストールに対してのみ実行してください。このツールはまさにこの理由から、ローカルファイルシステムのパス以外を対象とすることを意図的に拒否します — ネットワーク経由でサードパーティのサイトを指定することはできません。
最初のスキャンの前に、このツールは以下の内容を表示し、続行するには YES と入力することを要求します — 確認がなければスキャンは行われません:
------------------------------------------------------------------------------
ValtersIT Scanner — Authorised Use Confirmation
------------------------------------------------------------------------------
Run this tool ONLY against systems you own, or for which you have explicit
written authorisation to assess.
This scan sends only component name + version (plus a random local
identifier) to the ValtersIT API — no IP address, hostname, or file
contents. See the Privacy Policy: https://www.valtersit.com/privacy
Type YES to confirm you are authorised to scan this system and continue.
Anything else aborts without scanning.
------------------------------------------------------------------------------
そのゲートについては valtersit_client.py（require_consent）を参照してください。
Apache-2.0 の下でライセンスされています（LICENSE および NOTICE を参照）。いかなる種類の保証も伴いません。「ValtersIT」および ValtersIT ロゴは Valters Capital, SIA の商標であり、使用許諾はされていません。
GitHub/GitLab の issue は開かないでください — 監視していません。 代わりにこちらのお問い合わせフォームからご連絡ください: https://www.valtersit.com/contacts/ Hugo Valters によってメンテナンスされています