2026年10月6日、WordPress 7.1.3 が公開されました。今回は、7件のセキュリティ修正と4件の不具合修正を含む、メンテナンスおよびセキュリティリリースです。
以前、WordPress 7.1.2 のセキュリティリリースについて記事を書きました。「前回の更新を済ませたばかりだけど、また更新する必要があるの ?」と思う方もいるかもしれません。
WordPress 7.1.2 に更新済みのサイトでも、今回の7.1.3への更新が必要です。 不具合を直すだけでなく、安全に関わる問題も修正されており、WordPress.org は速やかな更新を推奨しています。
この記事では、今回の修正内容と、サイト所有者が更新前後に確認したいことを整理します。
WordPress 7.1.3 はどのような更新なのか
メンテナンスリリースは、既存の機能で見つかった不具合などを直す更新です。セキュリティリリースは、不正な操作や情報漏えいにつながる弱点を直す更新を指します。この弱点は「脆弱性」と呼ばれます。
今回は、この両方を含む更新です。新機能を使う予定がなくても、確認しておきたい内容になります。
| 確認すること | 今回の内容 |
|---|---|
| 公開日 | 2026年10月6日 (公式発表の表記) |
| セキュリティ修正 | 7件 |
| 不具合修正 | 4件 |
| WordPress 7.1 系の更新先 | WordPress 7.1.3 |
どのようなセキュリティの問題が修正されたのか
公式発表に挙がっている7件を、関係する機能と問題の内容に分けて整理しました。
| 関係する機能・処理 | 修正された問題 |
|---|---|
| コメントの管理画面 | 承認待ちのコメントを通じて、保存型 XSS を引き起こせる問題 |
| URL を処理する機能 | サービス妨害 (DoS) につながる問題 |
| 記事などを書き出す WXR エクスポート | 二次的 SQL インジェクションの問題 |
| 投稿の先頭固定 | 「投稿者」権限のユーザーが、権限を超えて投稿を先頭に固定できる問題 |
| 非公開・未公開の投稿に付いたコメント | ログインしていない相手にコメントの内容が漏れる問題 |
| 画像共有サービス Imgur の埋め込み | XSS の問題 |
| 投稿の状態や種類に応じて処理を呼び出す仕組み | 偽装した値によって、別々の処理を呼び出す名前が同じになってしまう問題 |
XSS (クロスサイトスクリプティング) は、Web ページに不正なプログラムを混ぜ込み、そのページを見る人のブラウザーで実行させる問題です。保存型XSS の「保存型」は、不正な内容がサイト側に保存され、あとから表示される際に問題になるものを指します。
サービス妨害 (DoS) は、サイトやサービスの処理を妨げ、利用しにくくしたり、利用できなくしたりする攻撃です。用語の意味は、OWASP の解説 も参考になります。
WXR エクスポートは、WordPress の記事などを別のサイトへ移すために、ファイルへ書き出す機能です。
SQL インジェクションは、入力された値が、記事などを保存するデータベースへの不正な命令として扱われてしまう問題です。「二次的」は、保存済みの値をあとから別の処理で使う際に問題が起きる種類を指します。これは用語の一般的な説明で、今回の攻撃手順を示すものではありません。詳しくは、PortSwigger の解説で確認できます。
すべての用語を覚える必要はありません。今回の修正は、公開ページだけでなく、コメント管理や投稿の権限、情報の書き出しなどにも関係しています。 サイトの見た目が普段どおりでも、それだけでは更新が不要とは判断できません。
なお、公式発表は修正項目の概要を示していますが、各問題が成立する詳しい条件までは説明していません。この記事でも、すべてのサイトで同じ攻撃が成立するとは断定しません。
不具合修正には、サイトアイコンの表示に関する修正も含まれる
4件の不具合修正のうちの1件は、ログイン時に画面上部へ表示されるツールバーのサイトアイコンが、大きく表示されてしまう問題です。サイトアイコンは、サイトを識別するための小さな画像です。
WordPress 7.1 で追加されたツールバーのアイコンが、テーマやプラグインによる画像サイズの指定の影響を受ける場合があり、そのサイズを制限する修正が行われています。
更新後は、普段見ている公開ページに加えて、ログインした状態の表示も確認しておくと良いでしょう。
WordPress 7.0以前を使っている場合はどうするのか
今回の公式発表では、必要に応じて、セキュリティ修正を旧系列にも反映すると説明されています。対象は、セキュリティ修正を受け取れる系列で、現時点では4.7までとされています。
ただし、発表には「作業中で、準備ができたものから公開する」とも記載されています。すべての旧系列で、すでに今回の修正版が提供されたと受け取らないようにしてください。
旧系列を使っている場合は、管理画面の更新情報と公式の公開状況を確認します。前回の7.1.2の記事に載せた旧系列の修正版一覧は、前回の脆弱性に対応するものです。今回の7.1.3に含まれる修正への対応状況とは分けて考える必要があります。
また、積極的にサポートされているのは最新バージョンのみです。古い系列へのセキュリティ修正は、長期的なサポートの保証ではありません。WordPress 4.6以前を利用している場合や、長期間更新していない場合は、制作会社や保守担当者と、現在の環境から更新する方法を相談してください。
サイト所有者が確認する順番
個人的には、今回も「自分のサイトで攻撃が成立するか」を細かく調べて更新を見送るより、更新できる準備を整えて、修正版を適用する方が現実的だと考えています。
進める順番は、次の4つです。
1. 現在の WordPress バージョンを確認する
WordPress の管理画面へログインし、「ダッシュボード」→「更新」を開きます。
WordPress 7.1 系を利用している場合は、7.1.3になっているか確認してください。7.1.2であれば、今回の更新はまだ適用されていません。
管理画面で操作しなくても本体を更新する「自動バックグラウンド更新」に対応したサイトでは、更新処理が自動的に始まります。ただし、自動更新される予定と、実際に更新が完了していることは別です。 通知メールだけでなく、現在のバージョンを確認しておきましょう。
2. バックアップと復元方法を確認する
更新前に、サイトを元に戻すためのバックアップを確認します。対象は、WordPress のファイルと、記事や設定などを保存するデータベースの両方です。
バックアップがあるかだけでなく、取得日時と、問題が起きたときに誰がどう復元するかも確認してください。
復元方法が分からない場合は、レンタルサーバー会社や保守担当者へ確認しましょう。安全に関わる更新なので、準備が分からないまま放置するより、早めに確認を進めたいところです。
3. 修正版へ更新する
WordPress 7.1 系であれば、管理画面の「ダッシュボード」→「更新」から7.1.3への更新を行います。
保守を依頼しているサイトでは、担当者へ今回の更新への対応状況を確認してください。更新作業を誰が行うか、更新後の確認をどこまで行うかも共有しておくと、確認漏れを減らせます。
古い WordPress から大きくバージョンを上げる場合は、この記事の手順だけで進めず、テーマやプラグイン、サーバー環境との組み合わせを確認してから更新計画を立ててください。
4. 更新後の表示と重要な機能を確認する
更新が終わったら、バージョンだけでなく、サイトが普段どおり使えるかも確認します。
- トップページと主要な固定ページが表示できる
- 管理画面へログインできる
- ログイン時のツールバーが正常に表示される
- コメント機能を使っている場合、コメントの管理画面が表示できる
- 問い合わせフォームを送信でき、受信も確認できる
- 利用している予約、購入、会員ログインなどの重要な機能が動く
ここに挙げたものは、更新後の動作を確認するための項目です。表示や操作が正常でも、過去に改ざんなどの被害がなかったことまで確認できるわけではありません。
制作・保守担当者が追加で確認したいこと
制作会社や保守担当者は、担当するサイトごとに、更新前後のバージョンと確認結果を記録しておきたいところです。
旧系列を含む複数サイトを管理している場合は、今回の修正版が公開されたか、適用まで完了したかを分けて管理します。前回の更新完了記録を、そのまま今回の対応完了として扱わないことが大切です。
独自に機能を追加しているサイトでは、コメント管理、投稿の権限、エクスポート、埋め込み表示など、修正対象に関係する部分を確認します。エクスポートを確認する場合は、書き出したファイルに記事などの情報が含まれるため、保存先と取り扱いにも気を配ってください。
更新後にエラーや表示崩れが起きた場合は、発生した操作と時刻を記録し、原因を調べます。更新前の状態へ戻す必要があるときも、セキュリティ修正が外れることを踏まえて、その後の対応まで決めておきましょう。
自分で進められる範囲と、相談した方がよい状態
管理画面へログインでき、バックアップと復元方法が分かり、更新後の確認も行える場合は、前述の順番で対応できます。
一方で、次のような場合は、制作会社や保守担当者へ相談してください。
- 現在のバージョンや管理画面へのログイン方法が分からない
- バックアップの有無や復元方法が分からない
- 古い WordPress や独自のカスタマイズがあり、更新の影響を判断できない
- 予約や購入など、止まると事業への影響が大きい機能がある
- 更新後に表示や操作の不具合が起きている
- 身に覚えのない投稿やユーザーなど、不審な変化がある
相談前には、サイトの URL、現在の WordPress バージョン、レンタルサーバー名、管理画面へのログイン可否、バックアップの有無を用意すると、状況を共有しやすくなります。すでに不具合がある場合は、更新日時と症状、画面の画像も添えてください。分かる範囲で構いません。
更新したことと、サイトが使えることを確認する
今回の WordPress 7.1.3 は、7.1.2に更新していたサイトでも対応が必要なリリースです。
修正内容の詳しい仕組みをすべて理解してから動く必要はありません。現在のバージョンを確かめ、戻せる準備をして更新し、最後にサイトの表示と重要な機能を確認する。この順番を押さえておくと、やるべきことを整理しやすくなります。
オレインデザインでは、WordPress の更新や保守についてのご相談を受け付けています。バックアップの状態が分からない、他社が制作したサイトで更新を判断できないといった場合は、上記の情報を分かる範囲で添えて、お問い合わせフォームからご相談ください。
この記事が、今回の更新を進める際の参考になれば嬉しいです。
