WordPressは、脆弱性対応の改善、未解決のセキュリティ検出事項の削減、そして攻撃者に悪用される前に欠陥を特定するための人工知能の活用を目指す、新たな「コアセキュリティイニシアチブ」を始動しました。
このイニシアチブは、WordPressプロジェクトが過去1年間にセキュリティ報告の大幅な増加を報告している中で開始されました。
WordPressセキュリティチームによると、この増加は急速に進化するフロンティアAIモデルと密接に関連しており、こうしたモデルによってエコシステム全体でコード解析や脆弱性調査がより手軽に行えるようになっているといいます。
Rudy Faile氏は、WordPressコアを精査することでより早期に弱点を発見できるようになる一方、プロジェクト側は報告のトリアージ、検証、優先順位付け、修復を確実にこなせる体制へと規模を拡大する必要があると述べています。
この取り組みはWordCamp US 2026におけるWordPressセキュリティチームのミーティングで議論され、現在は「ABC」と総称される3つのセキュリティ優先事項として体系化されています。
1つ目の柱は、WordPressのセキュリティリリースワークフローの強化に焦点を当てています。プロジェクトでは、セキュリティアップデートの準備と提供に向けて、より緊密かつ自動化されたプロセスを構築する計画です。
これには、サポート対象のWordPress環境全体で修正が意図通りに機能し、予測可能な形で配信できるようにするためのエンドツーエンドテストの改善も含まれます。
セキュリティパッチでは、緊急性とリグレッション（機能低下）発生のリスクとのバランスを取る必要がしばしば生じます。特に、プラグインやテーマ、ホスティング、設定の組み合わせが多岐にわたる、数百万件ものウェブサイトで利用されているプラットフォームでは、この点が重要になります。
WordPressが明らかにしたところによると、セキュリティチームはこの取り組みの一環として、今後のセキュリティリリースのスケジュールを組んでいるといいます。より規律あるリリースプロセスにより、脆弱性の確認からパッチ開発、テスト、展開までの遅延を短縮できる可能性があります。
2つ目の柱は、未対応の脆弱性報告と既知のセキュリティ問題の滞留（バックログ)削減に焦点を当てています。
WordPressは、検出事項の評価と解決を支援するため、追加のチームメンバーやボランティアの参加を計画しています。掲げられている目標は野心的で、未解決のセキュリティ検出事項をゼロにするというものです。
脆弱性報告のバックログが大量に積み上がると、たとえ報告が公開されていなくてもリスクを生み出しかねません。セキュリティチームは、提出された報告が有効かどうかの判断、影響を受けるバージョンや攻撃経路の特定、悪用可能性の評価、パッチの開発、そしてリリース時期の調整を行う必要があります。
重複した報告や、不完全な概念実証（PoC）資料、AIが生成した質の低い提出物は、メンテナーの負担をさらに増大させる要因になります。WordPressはレビュー体制を拡充することで、報告処理能力と対応速度の両方を改善することを目指しています。
3つ目の柱では、WordPressコアの脆弱性を先回りして特定するためのAI支援のスキャンとセキュリティツールの活用を求めています。WordPressは、責任ある開示のプロセスを置き換えるのではなく、AIによる解析を外部研究者から提出される報告を補完するものと位置付ける考えです。
AI支援ツールは、セキュリティチームが大規模なコードベースを精査し、データフローを追跡し、安全性の低いパターンを識別し、認可や入力検証に関する潜在的な問題にフラグを立て、手動レビューの対象とすべきコードパスの優先順位付けを行う上で役立ちます。
このアプローチは、ソフトウェアセキュリティ全体に広がるより大きな潮流を反映しています。研究者がより迅速に脆弱性を発見できるようにする同じAI能力が、開発ライフサイクルのより早い段階でメンテナーが弱点を検出し修復する助けにもなるのです。
WordPressコアの潜在的な脆弱性を発見した研究者は、プロジェクトの公式HackerOneプログラムを通じて報告を提出し、WordPressの報告ガイドラインに従うことが推奨されています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/wordpress-launches-core-security-initiative/
