# WordPressのログイン名の手がかりが、/wp-json/wp/v2/users から誰でも見えていた

出典: [Securityタグが付けられた新着記事 - Qiita](https://qiita.com/BLSTWEB/items/1c5474460675176c0366) · 2026-11-14 · セキュリティ
ページ: https://themorning.dev/ja/story/wordpress-wp-json-wp-v2-users-c43db6d6-0259f922f84e7dca
種類：セキュリティ · 影響度：中

## 要点

- WordPressの標準REST APIである/wp-json/wp/v2/usersから、ログインしていなくてもユーザー一覧を取得できる状態だったと報告されている
- 取得できるのはログイン名の手がかりとなる情報で、筆者は自身のサイトでこの状態を確認したという
- 記事では修正方法や対応状況は示されていない

## なぜ重要か

ログイン名が第三者に把握されると、パスワードの総当たり攻撃などの足がかりになりうるため、自分のWordPressサイトで未認証のユーザー一覧取得が防がれているかを確認する必要がある。

## 取るべき対応

- 未認証の状態で/wp-json/wp/v2/usersにアクセスし、ユーザー情報が返されないか確認する

## タイムライン

- 2026-11-14: 筆者がQiitaで問題を公開

## 報道

- [WordPressのログイン名の手がかりが、/wp-json/wp/v2/users から誰でも見えていた](https://qiita.com/BLSTWEB/items/1c5474460675176c0366) — Securityタグが付けられた新着記事 - Qiita, 2026-11-14

タグ: セキュリティ, WordPress, REST API, 脆弱性

---

このまとめは、「報道」に挙げた記事をもとにAI（claude-haiku-5-5）が生成したものです。見出しの権利は各発行元に帰属します。The Morning Dev – https://themorning.dev/ja