こんにちは！合同会社エーデルハーツの代表、矢部です。埼玉県川越市を拠点に、WordPressサイトのセキュリティ対策やカスタマイズに取り組んでいます。
このWordPressセキュリティシリーズ、前回（第2回）はバージョン6.0から6.3までのセキュリティ関連の進化を見てきました。今回はその続きとして、比較的新しいバージョンであるWordPress 6.4から6.6まで（概ね2023年後半～2024年末にリリース）に焦点を当て、どのようなセキュリティアップデートや改善が行われてきたかを確認していきましょう。最新のWordPressがどのように安全性を高めているかを知ることは、安心してサイトを運営する上で重要です。
WordPress 6.4 (2023年11月リリース) のセキュリティ動向
バージョン6.4では、新しいデフォルトテーマ「Twenty Twenty-Four」の導入や、待望の「フォントライブラリ」機能（当時はプレビュー段階）、ブロックエディタの機能強化（ブロックフックなど）が行われました。
このバージョンのライフサイクル中には、複数のマイナーアップデート（6.4.1, 6.4.2, 6.4.3など）がリリースされ、いくつかの重要な脆弱性に対処しました。注目すべき点としては、以下のようなものが挙げられます。
- 特定の条件下でのリモートコード実行（RCE）に繋がる可能性のある問題の修正（深刻度は限定的とされたケース）。
- ファイルアップロード処理におけるPHPオブジェクトインジェクションの脆弱性への対処（PHARファイル経由）。
- 複数のクロスサイトスクリプティング（XSS）脆弱性の修正（ユーザー表示名に含まれるHTMLや、ブロックエディタ内部など）。
- プラグイン有効化時の権限昇格に繋がる可能性のある問題の修正。
これらの修正は、WordPressコア自体の堅牢性を高め、複数の脆弱性を組み合わせた（連鎖させた）攻撃を防ぐための継続的な取り組み（Hardening）の一環と言えます。
WordPress 6.5 (2024年4月リリース) のセキュリティ動向
バージョン6.5では、「フォントライブラリ」が正式に導入され、サイト全体でフォント管理が容易になりました。また、開発者向けの機能として「Interactivity API」や「Block Bindings API」、プラグイン開発を支援する「プラグイン依存関係」機能などが追加され、モダンな画像フォーマットであるAVIF形式のサポートも始まりました。
6.5系統のマイナーアップデート（6.5.1, 6.5.2 など）では、それまでに発見された以下のような典型的な脆弱性クラスに対する修正が行われました。
- テンプレートやブロック処理におけるクロスサイトスクリプティング（XSS）。
- 潜在的なクロスサイトリクエストフォージェリ（CSRF）の問題に対する保護強化。
- コアAPIにおけるデータ露出やアクセス制御に関する軽微な問題の修正。
新しいAPIや機能が追加される一方で、それらに関連して発生しうる新たなセキュリティリスクにも注意が払われ、迅速にパッチが提供される体制が維持されています。PHPの最新バージョンへの対応強化も継続されました。
WordPress 6.6 (2024年12月リリース) のセキュリティ動向
バージョン6.6は、サイトエディターにおける「データビュー」機能の改善、テーマのスタイルバリエーション機能の強化、同期パターンでのオーバーライド機能、そして待望の「グリッドレイアウト」サポートなど、主にユーザー体験と制作ワークフローの向上に焦点が当てられました。
一見するとセキュリティに直接関連する大きな機能追加は見られないかもしれませんが、このようなリリースにおいても、水面下でのセキュリティ強化や、新たに追加された機能における潜在的な問題点の修正は継続して行われます。6.6系統のマイナーアップデート（6.6.1など）では、以下のような修正が含まれることが一般的です。
- 新しいUIコンポーネントやAPIにおけるXSSやCSRFの脆弱性。
- 特定の操作における意図しない権限バイパスや情報露出の可能性。
- サードパーティライブラリのセキュリティアップデートの反映。
どのような機能改善が行われるバージョンであっても、並行してセキュリティの維持・向上にも注意が払われていることが分かります。
近年の傾向と継続的な注意の必要性
WordPress 6.4から6.6にかけてのアップデートを見ると、以下のような傾向が見られます。
- XSS、CSRF、インジェクション系の脆弱性に対する継続的な修正と対策強化。
- ファイル処理や権限管理など、コア機能のさらなる堅牢化（Hardening）。
- 新しいWeb技術（AVIFなど）や開発者向けAPIの導入と、それに伴うセキュリティ考慮。
- 最新のPHPバージョンへの対応促進（古いPHPはサポートが切れ、それ自体がリスクになるため）。
WordPressコアチームによる懸命な努力により、本体の安全性は継続的に高められています。しかし、完璧なソフトウェアは存在しません。新たな脅威や未知の脆弱性は今後も発見される可能性があります。だからこそ、常に最新のセキュリティリリースを適用し続けることが極めて重要なのです。
まとめと次回予告
今回は、WordPress 6.4から6.6までのセキュリティ関連のアップデート動向を概観しました。メジャーバージョンアップだけでなく、その後のマイナーアップデート（例: 6.6.1, 6.6.2…）がいかに重要であるかが、改めてお分かりいただけたかと思います。
しかし、WordPressサイトのセキュリティは、コア本体だけを最新にしておけば万全、というわけではありません。むしろ、多くの場合、セキュリティインシデントの原因は、導入している「プラグイン」や「テーマ」の脆弱性にあります。
次回の記事（第4回）では、この「プラグイン・テーマのセキュリティ」に焦点を当て、安全な選び方や更新の重要性について解説していく予定です。
（CTA）WordPressのバージョンアップやセキュリティ診断についてのご相談は、合同会社エーデルハーツが承ります。お気軽にお問い合わせください。
