WordPress運用者が押さえておくべきセキュリティアップデートまとめ + KUSANAGI最新アップデート（2026年7月版）

こんにちは。GMOプライム・ストラテジーの穂苅です。

当社普段は、LinuxOS, Nginx/Apache,PHP, MariaDB,WordPress などで構成される、WordPress最適化OSであり基盤である、「KUSANAGI」を開発・提供する立場から、これらのミドルウェアの脆弱性情報を追いかけ、修正パッケージを提供しています。

KUSANAGIについての詳細資料は、本記事の最後にご案内を入れています。
ご興味ありましたら、ぜひご覧ください。

今回はその中から、KUSANAGIを使っているかどうかに関わらずWordPressでサイトを運用している方に関わる内容を整理しました。

7月はWordPress本体に深刻度「緊急」の脆弱性が報告された月でした。

あわせてNginx・PHPにも修正が入っており、KUSANAGIチームでも月間で5件のセキュリティアドバイザリと、パッケージリリース計43件で対応しています。順を追って見ていきます。

WordPressコアの緊急脆弱性、通称「wp2shell」

一番影響が大きいのはこちらです。

WordPress 6.9〜6.9.4 および 7.0〜7.0.1 に、CVE-2026-63030（深刻度「緊急」、CVSS 9.8）とCVE-2026-60137（深刻度「高」、CVSS 7.5）という2つの脆弱性が見つかりました。

IPAでも「重要なセキュリティ情報」として取り上げられています。

それぞれ単体でも問題なのですが、組み合わせることで認証されていない第三者がリモートから任意のコードを実行できてしまいます。ログインの試行回数やアカウント権限が関係ないぶん、通常の防御策をすり抜けやすいのが厄介なところです。

SNSなどでもかなり話題になっていましたよね。

WordPress 6.9〜6.9.4／7.0〜7.0.1を使っている場合は、両方のCVEが対象になるので6.9.5以降または7.0.2以降へ急いでアップデートしてください。
6.8系（6.8.0〜6.8.5）はCVE-2026-60137のみ対象で、デフォルト構成なら直接コードが実行されるリスクは低いものの、テーマやプラグインの組み合わせ次第では悪用される余地があるため、6.8.6以降への更新をおすすめします。

【WP-CLI でアップデートする場合】※もしくは、管理画面からWordPressのコアをアップデート
wp core version
wp core update

私たちも7月21日に緊急の注意喚起記事を公開しました。

この深刻度の脆弱性は、発見から告知・修正提供までのスピードがそのまま被害の広がりに直結するので、日頃からこの手の情報にはアンテナを張っておくに越したことはありません。

Nginxの脆弱性

Nginx 1.30系・1.31系には、7月16〜17日付でそれぞれ深刻度「緊急」のアドバイザリを出しています。
中身は次の3件です。

いずれもリバースプロキシ構成やSSIを使っている環境で影響を受けやすい種類の問題です。修正版のNginx 1.30.4／1.31.3は、アドバイザリ公開と同日にパッケージとして提供しました。

【nginx のバージョンを確認】
nginx -v

PHPの脆弱性

PHP 8.2・8.3・8.5には、7月6〜7日付で深刻度「警告」のアドバイザリが出ています。

openssl_encryptでAES-WRAP-PADモードを使った際にメモリ破壊が起こりうるCVE-2026-14355は3系統共通の問題で、PHP 8.3ではこれに加えて、プロキシ経由のHTTPS URLに対してfile_get_contentsを実行するとセグメンテーションフォルトが起きるCVE-2026-12184も見つかっています。

暗号化処理や外部URL取得を自前のコードやプラグインで使っているなら、影響範囲を一度確認しておくと安心です。

修正版はPHP 8.2.32／8.3.32／8.5.8以降。ちなみにPHP 8.4系も同時期に8.4.23-1へ更新されていますが、これは定期更新で今回のCVE対応とは別です。

【PHP のバージョンを確認】
php -v

プラグイン・テーマもあわせてチェックを

コア以外にも、アクティブインストール数10万以上の主要プラグイン・テーマで高深刻度の脆弱性がいくつか報告された月でした。

私たちも毎週この手の情報を「Security Advisory for WordPress」として棚卸しして発信していますが、管理画面の更新通知だけに頼らず、自分の環境で使っているものが含まれていないか一度目を通しておくのがおすすめです。

KUSANAGIの開発元としての7月の動き

せっかくなので、私たちが実際にどう動いたかも共有しておきます。

KUSANAGI本体は7月中に5回バージョンアップしました（9.10.0-1から9.10.4-1まで）。
KUSANAGI Security Editionも同じタイミングで並行してリリースしています。

それとは別に、HTTP/3関連ライブラリ（ngtcp2・nghttp3・nghttp2）やWAFルールセット、Composer、WordPress同梱プラグイン群といった、日々の運用に関わるモジュール更新も22件行いました。

セキュリティ修正とあわせると、7月だけでリリースは合計43件です。

脆弱性への対応は、検知してから修正を届けるまでのリードタイムをどれだけ縮められるかが勝負だと考えています。これは規模の大小を問わず、運用者全員に共通する課題だと考えています。

セキュリティアップデート 2026年7月　のまとめ

WordPressコアとWebサーバー、言語ランタイムの脆弱性がまとめて報告される月は、正直そう珍しくありません。

手動でCVE情報を追いかけてその都度パッチを当てるのは骨が折れる作業なので、KUSANAGIをお使いの方は、Security Edition であれば、 autoupdate機能（自動アップデート）で自動化してしまうのも一つの手です。

お使いでない方も、まずは自分の環境が今どのバージョンで動いているか、WordPress・Nginx・PHPそれぞれ確認するところから始めてみてください。

引き続き、脆弱性情報のウォッチと迅速な対応を続けてまいります。

GMOプライム・ストラテジーで開発・提供している、「KUSANAGI」についてご興味ある方はこちらをご覧ください。https://kusanagi.tokyo/

最近のKUSANAGIは、多くの機能拡張がされており、「KUSANAGI AI アシスト プラグイン」として、WordPress 7系のユーザーに提供しています。
WordPressやサーバー（KUSANAGI）の状況を、AIに相談しながら解消していける機能も搭載しました。

こちらからご覧ください。
https://kusanagi.tokyo/lp-ai-assist-plugin/