B
今週中
WordPressのログイン画面に、認証不要で実行可能なリフレクテッドXSSの脆弱性（CVE-2026-64638）
📌 一言でいうと
WordPressのログイン画面に、認証不要で実行可能なリフレクテッドXSSの脆弱性（CVE-2026-64638）が発見されました。この脆弱性を悪用し、ログイン済みの管理者が攻撃者の制御するページを操作した場合、サーバー上でのPHPコード実行に至る可能性があります。CVSSスコアは8.9と高く、早急なパッチ適用が推奨されています。
🔍該当判定
- 自社でWordPressを利用してWebサイトを構築・運用している
- WordPressのログイン画面（wp-login.php）にアクセス可能な状態である
- WordPressの管理画面にログインして操作する「管理者権限」を持つユーザーが社内にいる
上記いずれにも該当しない → 静観でOK
✅該当時の対応
WordPressを最新バージョンにアップデートし、脆弱性 CVE-2026-64638 の修正を適用してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】WordPress CVE-2026-64638 対応について
お疲れさまです。WordPressの脆弱性に関する情報共有です。
■ 概要
WordPressのログイン画面における認証不要のリフレクテッドXSSの脆弱性が報告されました。管理者が攻撃者の誘導したページを操作することで、サーバー上でのPHPコード実行（RCE）に繋がる恐れがあります。CVSSスコアは8.9（High）です。
■ 影響範囲
- 対象製品: WordPress (全バージョン)
■ 対応手順
1. WordPressを最新の修正済みバージョンへアップデートしてください。
2. 管理者アカウントのセッション管理および不審な操作ログの確認を推奨します。
■ 参考情報
- CVE-2026-64638
対応優先度: 高
対応期限: 速やかに
お疲れさまです。WordPressの脆弱性に関する情報共有です。
■ 概要
WordPressのログイン画面における認証不要のリフレクテッドXSSの脆弱性が報告されました。管理者が攻撃者の誘導したページを操作することで、サーバー上でのPHPコード実行（RCE）に繋がる恐れがあります。CVSSスコアは8.9（High）です。
■ 影響範囲
- 対象製品: WordPress (全バージョン)
■ 対応手順
1. WordPressを最新の修正済みバージョンへアップデートしてください。
2. 管理者アカウントのセッション管理および不審な操作ログの確認を推奨します。
■ 参考情報
- CVE-2026-64638
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] WordPress CVE-2026-64638 Patching
Dear IT/Security Team,
We are sharing information regarding a critical vulnerability in WordPress.
■ Overview
A pre-authentication reflected XSS vulnerability (CVE-2026-64638) has been identified in the WordPress login screen. This flaw can be chained to achieve remote PHP code execution (RCE) on the server if a logged-in administrator interacts with an attacker-controlled page. The CVSS score is 8.9.
■ Scope
- Affected Product: WordPress (All versions)
■ Mitigation Steps
1. Update WordPress to the latest patched version immediately.
2. Review administrator session logs for any suspicious activity.
■ Reference
- CVE-2026-64638
Priority: High
Deadline: Immediate
Dear IT/Security Team,
We are sharing information regarding a critical vulnerability in WordPress.
■ Overview
A pre-authentication reflected XSS vulnerability (CVE-2026-64638) has been identified in the WordPress login screen. This flaw can be chained to achieve remote PHP code execution (RCE) on the server if a logged-in administrator interacts with an attacker-controlled page. The CVSS score is 8.9.
■ Scope
- Affected Product: WordPress (All versions)
■ Mitigation Steps
1. Update WordPress to the latest patched version immediately.
2. Review administrator session logs for any suspicious activity.
■ Reference
- CVE-2026-64638
Priority: High
Deadline: Immediate