諸君。WordPressの更新通知、そのままにしていないだろうか。
2026年10月28日、複数の脆弱性を修正するWordPress 7.1.4が公開された。公式は速やかな更新を推奨している。 まず、自分のサイトで更新が適用されているか確認してほしい。WordPress公式発表（10月28日）
この記事では、公表された修正内容と、サイト運営者・Web制作者が確認したいことを整理する。
情報確認日：2026年11月6日。以下の作業手順は、公式情報を踏まえた団長の提案だ。
Contents
WordPress 7.1.4では何が修正されたのか
公式発表には、次のような問題への修正が含まれている。
| 公表された問題の一部 | 概要 |
|---|---|
| 更新処理の弱点 | 更新処理中に、リモートコード実行につながる可能性がある |
| 複数の保存型XSS | ブロックやInteractivity APIなどで、不正なスクリプトの実行につながる問題 |
| アクセス制御に関する問題 | 未公開のカスタマイザー変更情報や、一部のノートへのアクセスに関する問題 |
これは修正内容の抜粋だ。全項目は公式リリース情報で確認できる。
リモートコード実行は、攻撃者がサーバー側で意図しないコードを実行できる問題。保存型XSSは、保存された不正な内容を表示した際などに、閲覧者のブラウザでスクリプトが動いてしまう問題だ。
ただし、それぞれの問題が成立する条件は同じではない。「すべてのサイトで、誰でも同じ攻撃ができる」と読み替えないようにしたい。
大切なのは、自分のサイトの更新状況を確かめ、必要な修正を適用することだ。
まずは「自動更新されたはず」を確かめる
管理画面の「ダッシュボード → 更新」を開き、現在のWordPressのバージョンと、適用できる更新を確認しよう。
自動更新を使っている場合も、設定されていることと、今回の更新が完了したことは分けて考えたい。
作業メモには、最低限これを残す。
- 確認した日時
- 現在のWordPressのバージョン
- 更新が完了しているか
- 未対応の場合、誰がいつ対応するか
旧バージョンの系列を運用している場合は、その系列への修正提供状況も確認する。公式発表には旧系列へのバックポートが案内されているが、継続的にサポートされるのは最新バージョンだ。古い系列を使い続ける方針も、あわせて見直したい。公式発表のバックポート案内
更新前は、バックアップと確認範囲をそろえる
WordPress公式は、更新前のバックアップを案内している。公式の更新手順
わたしなら、次の点を短く確認してから進める。
- データベースとファイルのバックアップがあるか
- 取得日時と復元手順が分かるか
- 更新後に確認するページと操作が決まっているか
- 問題が起きた際の連絡先と対応担当が決まっているか
検証環境があれば、重要な表示や操作を先に試す。
ただし、確認項目を増やし続けて、セキュリティ更新を先延ばしにはしたくない。問い合わせ、購入、ログインなど、そのサイトで止まると困る機能を優先して、対応を進めよう。
自分で更新を管理していない場合は、保守担当者やホスティング会社へ確認すればいい。「誰かがやるだろう」で止めず、担当と対応状況を明確にすることだ。
更新後は「表示・操作・送信・保存」を確認する
更新が終わったら、適用後のバージョンを確認する。そのうえで、サイトが普段どおり使えるかを確かめたい。
| 確認すること | 確認例 |
|---|---|
| 表示 | トップ、記事、固定ページをPCとスマホで開く |
| 操作 | メニュー、検索、ボタンなどを動かす |
| 送信 | フォームの完了画面と、実際のメール到達を確認する |
| 保存 | テスト用の下書きを編集・保存し、プレビューする |
ECや会員サイトなら、購入やログインなどの確認も追加する。
独自テーマでは、特定のページだけ異なるCSSやJavaScriptを読み込んでいることもある。トップが開いたことだけで、すべての確認を終えないようにしよう。
詳しい順番は、こちらにまとめている。
WordPress更新後のチェックリスト｜独自テーマの表示・フォーム・管理画面を確認する
この確認で分かるのは、主にサイトの動作だ。動作が正常だったことを、侵害されていない証拠として扱わないことも大切になる。
PHPのセキュリティ対応も、別に確認しよう
今回、あわせて確認したいのがPHPだ。
WordPress公式は10月21日、PHPの重大な脆弱性について注意を呼びかけた。これはWordPress固有の問題ではなく、WordPress本体を更新するだけでは対応が完了しない。 PHP側の修正適用状況を確認する必要がある。WordPress公式の注意喚起（10月21日）
PHPのバージョンは、WordPressの「ツール → サイトヘルス → 情報 → サーバー」などで確認できる。
ホスティング会社へ問い合わせる場合は、次のように整理すると話を進めやすい。
現在利用しているPHP環境について、10月21日に公表された脆弱性への修正適用状況を確認したいです。追加で必要な対応や、利用者側で行う作業はありますか。
PHP公式には、その後の追加案内も掲載されている。対応は最初の告知だけで判断せず、PHP公式情報とホスティング会社の最新案内を照合したい。
「確認したこと」を残して、対応を終える
セキュリティのニュースを見ると、不安になることもある。
そんなときこそ、事実と作業を分けて整理しよう。
何が公表されたのか。自分の環境はどうなっているのか。修正は適用されたのか。更新後の動作は確認できたのか。
例えば、記録はこの形から始められる。
確認日時： WordPressのバージョン： 本体の更新状況： PHPの修正適用状況： 更新後に確認したページ・操作： 残っている対応と担当：
これは記録用のひな型で、このサイトでの実施結果を示したものではない。
わたしは、「更新しました」という報告に、確認できたことと残っていることを添えたい。
公開したサイトを、使い続けられる状態に保つ。それも、諸君の技術が支える仕事だ。ひとつずつ、確認して進もう🔥