それはですね、テーマのアップロード機能に「能力チェック」や「nonce検証」が欠如しているためです。つまり、誰でもファイルをアップロードできてしまう。運用者はまず、WordPressで使用中のテーマが「2.6.3未満」かを確認すべきです。その確認方法は、wp-content/themes/以下のディレクトリ内のテーマファイルのバージョン情報を確認するだけです。

その通りです。攻撃者はPHPファイルをアップロードし、それを実行することでリモートコード実行を可能にします。運用者は、アップロードされたファイルの権限や内容を定期的にチェックする必要があります。たとえば、wp-content/uploads/ディレクトリにPHPファイルが存在するかをスクリプトでスキャンする方法があります。

テーマのバージョンが2.6.3未満であれば、開発者による修正済みのバージョンにアップグレードすることで、この脆弱性を封じることができます。アップグレード時に変更管理をしっかり行い、テーマの設定やカスタムコードが破損しないように注意してください。また、パッチ適用後は、アップロード機能の動作をテストすることを忘れないでください。

もちろんです。運用者は、サイトにZella Themeが導入されているかを確認する必要があります。導入されていない場合は、この脆弱性は関係ありませんが、導入されている場合は、テーマのバージョンを確認し、必要に応じて更新を検討してください。また、NVDのリンク（https://nvd.nist.gov/vuln/detail/CVE-2026-75873）を参照し、ベンダーの公式情報に従ってください。

定期的な監視と、変更管理の徹底です。ファイルアップロードの監視スクリプトを設定し、異常なファイルの存在を検知するようにしてください。また、パッチ適用後の変更をしっかり記録し、万一の際の復旧に備えてください。これは、哲学的な問いではなく、現実のサーバー運用の命題です。