実務チェックリスト
WordPressコア KEV更新・初動確認チェックリスト
このページでは、WordPressコアの更新判断、保全、更新後の確認、不審変更の調査、報告を作業化できる。プラグイン更新と本体更新を分け、予定ではなく稼働結果を記録する。
このページを現場で使う
チェック状態はこの端末にだけ保存されます。メモや機密情報は保存しません。
印刷・コピー・関連資料
- 対象者
- Web担当
- 緊急度
- 初動
- 領域
- Web CMS
- 難易度
- 中級
- 所要時間
- 約25分
- 最終更新
- 2026-10-11
確認進捗
完了 0/0いつ使うか
CVE-2026-87902のKEV登録や公式のセキュリティ更新を確認した時、更新未確認・委託先管理のサイトがある時、不審なファイル・管理者・設定変更がある時に使う。
誰が使うか
Web担当がサイト台帳と業務確認を取りまとめ、制作会社・ホスティング担当が更新と記録保全、情シス・CSIRTが制限・調査・復旧の判断を承認する。
エスカレーション条件
公開された対象・未確認サイト、更新不可、委託先の回答不足、不審な管理者・ファイル・設定変更、重要データやログ欠損がある場合はサイト所有者・保守担当・CSIRTへ引き継ぐ。
何を確認するか
WordPress本体のKEV登録を受け、稼働版、公式の修正境界と現行提供版、テーマ・PHP環境、委託先、バックアップ、更新後の業務を確認する実務チェックリスト。更新と不審変更の調査を分け、記録と未確認サイトの引き継ぎまで進めます。
なぜ重要か
対象CVEの修正境界と、現在提供されるセキュリティ更新は異なる。自動更新の設定だけでは稼働結果や旧サイトの取り残しまで確認できない。
見落とすと何が起きるか
更新だけで閉じると、過去の不審変更、認証情報への影響、委託先や旧サイトの残存、更新後の業務不具合を見落とす。
確認前に準備するもの
- WordPress公式GHSA、現行の公式リリース、CISA KEV、NVDと確認日時
- 本番・検証・旧サイト・委託先の台帳、稼働コア版、テーマ・プラグイン、PHP・ホスティング形態
- バックアップと復元確認、更新承認者、失敗時の公開制限、業務確認担当
- Web・WAF・ホスティングのログ、管理者・ファイル・設定変更履歴、保存期間と取得窓口
確認後に残すべき記録
- 対象サイト、提供形態、稼働版、修正・対象外・未確認の根拠と日時
- 保全・公開制限・更新の承認、実施時刻、更新後の版と業務確認
- 不審な変更、確認したログ・期間・制約、未確認サイトと残作業の担当・期限
対象サイトと稼働版を確認する
保全・バックアップ・制限を準備する
コア更新と業務確認を進める
不審な変更と影響を調査する
完了と残作業を記録する
記録テンプレート
社内の承認済み保管先へ転記してください。秘密情報の値や機密ログ原文は貼らず、証跡の保管先を記録します。
事案ID / 発見日時・タイムゾーン:
対象サイト / 提供形態 / 所有者・保守窓口:
対象CVE / 公式URL / 確認日時:
稼働コア版 / 修正境界 / 更新先 / 判断根拠:
テーマ・PHP等の確認 / 公開範囲 / 未確認条件:
保全した記録 / バックアップ・復元確認 / 制約:
公開制限・更新の承認 / 実施日時:
更新後の版 / 主要機能・監視の確認者と結果:
不審変更 / 影響調査 / ログの期間・制約:
未確認サイト / 担当 / 期限 / クローズ承認:
※秘密値、顧客データ、機密構成の原文は記入しない。よくある質問
WordPressコア KEV更新・初動確認チェックリストは何のためのチェックリスト？
対象CVEの修正境界と、現在提供されるセキュリティ更新は異なる。自動更新の設定だけでは稼働結果や旧サイトの取り残しまで確認できない。
いつ使う？
CVE-2026-87902のKEV登録や公式のセキュリティ更新を確認した時、更新未確認・委託先管理のサイトがある時、不審なファイル・管理者・設定変更がある時に使う。
誰が対応する？
Web担当がサイト台帳と業務確認を取りまとめ、制作会社・ホスティング担当が更新と記録保全、情シス・CSIRTが制限・調査・復旧の判断を承認する。
確認漏れがあると何が起きる？
更新だけで閉じると、過去の不審変更、認証情報への影響、委託先や旧サイトの残存、更新後の業務不具合を見落とす。
信頼性と注意事項
- 想定環境
- 自社・委託先のWordPress、共用ホスティング、VM・コンテナ、旧キャンペーンサイト。ホスト型サービスは提供元へ責任分界と影響確認を依頼する。
- 注意
- 約25分は初動の情報整理の目安で、更新・調査全体の完了時間ではない。実環境で攻撃条件を試さない。保全・承認なしにサイトやログを削除せず、旧版へ戻す場合は公開制限と再更新期限を伴う。秘密値や顧客データを記録へ貼らない。
- 最終更新日
- 2026-10-11