WordPress 7.0.4 が緊急リリース——投稿者権限から任意コード実行の恐れ、4.7 まで全ブランチに修正を配布

2026年8月12日、WordPress 7.0.4 がセキュリティリリースとして公開されました。
修正されたのは、投稿者（Author）以上の権限を持つ利用者が細工したファイルをアップロードすることで、サーバー上で任意のコードを実行できてしまう問題です。
報告は pwn.ai のチームによるもので、WordPress 側は「セキュリティリリースのため、直ちにサイトを更新すること」を推奨しています。

影響を受けるのは、画像処理に Imagick と Ghostscript を使っている環境です。
今回の版で書き換えられたファイルは wp-includes/class-wp-image-editor-imagick.php の1本だけで、パッケージの更新はありません。
権限が必要とはいえ、投稿者は「記事を書いて画像を上げる人」であり、外部ライターや代理店の担当者に配っている運用も珍しくない権限です。

修正は最新版だけにとどまらず、6.9.7・6.8.8・6.7.7 と遡って 4.7.35 まで、影響のある各ブランチに配布されました。
ただし公式に「サポートされている」のは常に最新版だけで、4.6 以前はセキュリティ更新の対象から外れたままです。
古い版で止めているサイトほど、今回のように後追いで配られる修正に気づけるかどうかが分かれ目になります。

自動更新を有効にしていれば多くのサイトは静かに更新されますが、問題は「自動更新を切っている本番サイト」と「担当が代わって誰も見ていないサイト」です。
コンテナを運用しているサイトは今回の対象ではありませんが、稼働中のPHPやライブラリの版を把握しておく大切さは変わりません。
管理画面のサーバー情報で足元の環境を確かめておくと、こうした知らせが出たときに慌てずに済みます。