2026年10月28日、WordPress 7.1.4 が公開されました。今回は、WordPress 本体のセキュリティ上の問題を修正するリリースです。
公式は、速やかなアップデートを推奨しています。ただ、「セキュリティ修正が含まれます」と言われても、何が直ったのか、自分のサイトにどう関係するのかはわかりにくいですよね。
この記事では、主な修正内容を整理し、更新前後に確認しておきたいことを紹介します。
※2026年10月29日時点の公式情報に基づいています。
今回は何が修正されたのか
今回の修正は、投稿の内容を処理する仕組みから、管理画面の権限、WordPress 自身を更新する処理まで、複数の機能に関係しています。
主な内容をまとめると、次のようになります。
| 修正された箇所 | 問題の概要 |
|---|---|
| WordPress 本体の更新処理 | 更新中の処理のタイミングによって、外部から意図しないプログラムを実行される可能性 |
| ブロックや管理画面の一部 | 保存された不正な内容を表示した際に、ブラウザーで意図しない処理が実行される問題 |
| Interactivity API | 不正な処理の実行や、正常な処理を妨げる問題 |
| カスタマイザー | 未公開の変更内容に、ログインしていない人がアクセスできる問題 |
| 投稿に付けるノート | 投稿を編集できない特定のユーザーが、ノートを閲覧・操作できる問題 |
このほか、通信先を信頼できるか確認するために WordPress が同梱している「ルート証明書」の更新も含まれています。
特定のプラグインだけの問題ではなく、WordPress 本体の機能に関係する更新です。 プラグインを更新していても、WordPress 本体の更新状況は別に確認する必要があります。
特に知っておきたい修正内容
WordPress を更新する処理にも問題があった
今回の修正には、WordPress 本体の更新中に、リモートコード実行につながる可能性がある問題への対応が含まれています。
リモートコード実行とは、外部からサーバー上で意図しないプログラムを実行されることです。ブラウザーの表示だけでなく、サイトを動かしているサーバー側に影響する可能性があります。
公式の詳細ドキュメントでは、更新時の「競合状態」が原因として挙げられています。複数の処理が動くタイミングや順序によって、想定していない動作が起こる問題です。
ただし、これを「すべての WordPress サイトが、いつでも外部から操作できる状態だった」と受け取るのは正確ではありません。今回の説明は、更新処理中の特定の条件に関するものです。
参照した公式資料だけでは、実際の悪用状況や詳しい攻撃条件までは判断できません。更新処理の問題も修正対象になっていることを押さえ、公式の案内に沿って更新を進めましょう。
投稿や設定を表示したときに起こる「保存型 XSS」
今回、複数の箇所で修正されたのが、保存型 XSS です。
XSS は、Web ページに入り込んだ不正なプログラムが、そのページを見る人のブラウザーで実行される問題です。そのうち、投稿や設定などに不正な内容が保存され、後から表示した際に実行されるものを「保存型」と呼びます。
例えば、問題のある内容が投稿に保存されていると、その投稿を確認する管理者側にも影響する可能性があります。
今回の修正対象には、ブロックの記述の処理、カテゴリーやコメントのページ送りに関するブロック、個人データの削除申請画面などが含まれています。
なお、公式資料では、一部の問題に「寄稿者以上」「投稿者以上」といった権限の条件が示されています。すべての問題を、ログインしていない人が悪用できるという意味ではありません。
一方で、投稿する権限を持つ人から、管理者など別の人へ影響が及ぶ可能性もあります。ログインが必要な問題だからといって、更新を省いてよいわけではありません。
Interactivity API や、情報へのアクセスも修正
Interactivity API は、クリックなどの操作に応じて、ブロックの表示や状態を変えるための仕組みです。
今回は、この仕組みに関係する保存型 XSS に加え、正常な処理を妨げるサービス妨害 (DoS) の問題も修正されています。
仕組みの名前に覚えがなくても、今回の更新にはほかの機能の修正も含まれています。「自分では使っていないと思う」という理由だけで、更新不要とは判断しないようにしましょう。
また、カスタマイザーという、サイトの見た目や設定をプレビューしながら調整する機能では、未公開の変更内容にログインしていない人がアクセスできる問題が修正されました。
投稿に付けるノートにも権限上の修正があります。コメント管理権限を持つ特定の独自ユーザー権限で、本来は編集できない投稿のノートを閲覧・編集・削除できる問題です。
不正なプログラムを防ぐだけでなく、情報を見られる人、操作できる人を正しく制限するための修正も含まれているわけです。
WordPress 7.0 や6.9など、以前のバージョンも確認を
今回の対応は、WordPress 7.1 系列だけに関係するものではありません。公式ドキュメントには、以前の系列に対する修正版も掲載されています。
一部を抜粋すると、次のとおりです。
| 利用している系列 | 今回の修正版 |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
さらに古い系列についても、公式ドキュメントの一覧で確認できます。系列によって、影響する問題は異なります。
ここで気をつけたいのは、旧系列への修正版の提供は、古いバージョンの継続利用を推奨するものではないということです。公式は、積極的にサポートしているのは最新バージョンのみと説明しています。
すぐに最新系列へ移行することが難しい場合も、まず利用中の系列に適用できるセキュリティ修正を確認し、そのうえで最新系列への移行を検討しましょう。
なお、リリース告知では旧系列への修正提供が進行中と案内されています。実際に更新するときには、管理画面と公式情報で提供状況を確認してください。
サイト運営者が確認したい4つのこと
修正内容をすべて技術的に理解してからでないと、更新できないわけではありません。サイトを運営する立場では、次の順番で確認すると進めやすくなります。
1. 現在のバージョンと更新状況を確認する
管理画面の「ダッシュボード」→「更新」を開き、現在の WordPress のバージョンと、利用できる更新を確認します。
自動更新に対応しているサイトでは、すでに更新されている場合もあります。ただし、設定だけで判断せず、実際に適用されたバージョンまで確認しましょう。
保守を依頼している場合は、担当者に今回の対応状況を確認するとよいでしょう。
2. バックアップと復元方法を確認する
手動で更新する前に、サイトのファイルとデータベースのバックアップを確認します。データベースは、投稿本文や設定などを保存している場所です。
バックアップは、取得できていることに加えて、問題が起きたときにどう戻すかも大切です。保存先や復元方法がわからない場合は、先にサーバー会社や保守担当者へ確認しておきましょう。
公式のWordPress 更新ガイドでも、更新前のバックアップを勧めています。
3. 更新を進める
事前に動作を確かめるためのテスト環境があれば、そこで確認してから本番サイトへ反映します。
ただし、今回はセキュリティ更新です。確認の予定が決まらないまま、長期間先送りすることは避けたいところです。自分で進められない場合も、担当者へ連絡し、対応する日程を決めましょう。
4. 更新後の表示と動作を確認する
更新が完了したら、バージョンの表示だけでなく、普段使うページや機能も確認します。
- トップページや主要な投稿・固定ページが表示されるか
- 管理画面へログインし、記事を編集できるか
- メニューなど、操作に応じて動く機能が使えるか
- フォームを利用している場合、送信と受信まで問題がないか
確認する箇所は、サイトの役割に合わせて選びます。問い合わせが大切なサイトならフォームを、予約や販売を行うサイトならその手続きを優先するとよいでしょう。
更新を進めるのが難しいときは
現在のバージョンや更新通知の確認は、管理画面に入れる方であれば、まず取り組めることです。
一方で、バックアップの復元方法がわからない、以前の更新で不具合が出た、長期間更新を止めているといった場合は、制作・保守担当者へ相談した方が進めやすいでしょう。
相談するときは、サイトの URL、現在の WordPress のバージョン、利用中のテーマやプラグイン、過去に起きた不具合、バックアップの状況を、わかる範囲でまとめておくと確認がスムーズです。
オレインデザインへのご相談は、お問い合わせフォームからお寄せください。更新を止めている理由や、どの確認で困っているかを添えていただければ、対応範囲を含めて確認します。
今回の WordPress 7.1.4 を機会に、更新の適用と、その後の動作確認まで進めていただければと思います
