WordPress 7.1.4のセキュリティ更新とは？22件の脆弱性の内容と、サイト運営者がやるべきこと
この記事を約3分で解説
2026年10月28日、WordPressのセキュリティリリース「WordPress 7.1.4」が公開されました。修正された脆弱性は22件にのぼり、WordPress公式は「すぐに更新するよう」呼びかけています。
中でも注目されているのが、WordPress本体の更新処理の最中に、ログインしていない人がサーバー上でプログラムを動かせてしまうおそれがあるという問題です。一方で、残りの多くは「投稿者」などのアカウントを持つ人が悪用できるXSS（悪意のあるプログラムを埋め込まれる問題）です。
ネットでは「数百万のサイトに影響」「ログインなしでサイトを乗っ取れる」といった強い見出しも見かけます。この記事では、公式の発表とセキュリティ会社の分析をもとに、何が直ったのか、どれくらい危ないのか、サイト運営者は何をすればいいのかを整理します。
この記事は2026年10月30日時点の公開情報をもとに作成しています。各脆弱性のCVE番号は、この時点では公式の発表に記載されていません。最新情報は記事末尾の参考情報もあわせてご確認ください。
まず結論：やること
- 管理画面の「ダッシュボード → 更新」で、WordPressが7.1.4（古い系列を使っている場合はその系列の修正版）になっているかを確認する
- なっていなければ、バックアップを取ってから、すぐに更新する
- 自動更新が止められていないかを確認する（制作会社が止めていることもあります）
- 可能なら、サーバーの設定で
wp-content/upgrade/を外から見られないようにする - 「投稿者」「寄稿者」など、記事を書ける権限を持つアカウントを見直し、使っていないものは削除する
「自分のサイトが更新されているか分からない」「自動更新を止めているので不安」という方へ
C-TechLabでは、WordPress本体の更新と、更新後の表示・動作の確認を代行しています。初回のご相談は無料です。
WordPress 7.1.4とは
WordPress 7.1.4は、2026年8月に公開された「WordPress 7.1」系列の4回目の小さな更新（マイナーリリース）です。新しい機能は入っておらず、セキュリティの問題の修正だけを目的としたリリースです。
修正の数は22件で、セキュリティ会社のPatchstackによると、17件のセキュリティ情報（アドバイザリ）にまとめられています。1回のリリースで直す数としては、かなり多い部類です。
7.1系列は、9月から更新が続いています。
| 日付 | バージョン | 内容 |
|---|---|---|
| 2026年8月19日 | 7.1 | 大型アップデート |
| 2026年9月17日 | 7.1.1 | 不具合とセキュリティの修正 |
| 2026年9月22日 | 7.1.2 | セキュリティの修正 |
| 2026年10月6日 | 7.1.3 | 不具合とセキュリティ（7件）の修正 |
| 2026年10月28日 | 7.1.4 | セキュリティ（22件）の修正 |
なお、12月8日に公開予定の次の大型アップデート「WordPress 7.2」についても、今回の修正を含めたベータ3が同時に公開されています。7.2の内容は「WordPress 7.2で何が変わる？」で解説しています。
いちばん注目されている問題：更新中の「すき間」を狙われる
22件のうち、ログインしていなくても悪用されうるのは、実質この1件です。報告者はUmut Bayram氏で、公式は「コアの更新中の競合状態（レースコンディション）で、リモートからのコード実行につながるおそれがある問題」と説明しています。
仕組み
WordPress本体を更新するとき、WordPressは新しいバージョンのファイル一式を、いったん wp-content/upgrade/ というフォルダに展開してから、本来の場所へ移します。
セキュリティ会社の分析によると、7.1.3までは次のような弱点がありました。
- 展開先のフォルダの名前が推測しやすかった
- 片づけの処理で、フォルダの中身の一覧表示を防ぐファイル（
index.php）が消えてしまっていた - 展開されたファイルの中には、WordPressの初期設定用の画面（インストーラー）も含まれていた
つまり、更新が行われている数秒のあいだに、外から正しい場所へアクセスできれば、展開途中のインストーラーを直接呼び出せてしまう、という問題です。これが悪用されると、サーバー上で攻撃者のプログラムを動かされるおそれがあります。
どれくらい危ないのか
条件が厳しいため、評価は分かれています。
- Patchstack：狙ったタイミングで正しい場所にアクセスする必要があり、攻撃の難しさは「高い」と評価。「実際に悪用するのは現実的ではない」としています。一方で、ログインも利用者の操作も不要で、自動更新を含め、更新のたびにすき間が生じる点は注意すべきだとしています。
- Wordfence：深刻度をCVSS 8.1（高）と評価。報道によると、Wordfenceが公開から約3時間後に防御ルールを追加したところ、9分後には最初の検知があり、21時間で18,500件を超える関連アクセスを記録したと報告しています。少数のサイトに約14.5時間にわたってアクセスを繰り返し、更新のタイミングを待ち構えているような動きもあったとのことです。
まとめると、「すぐに大量のサイトが乗っ取られるような問題ではないが、すでに狙いに来ている人はいる」という状況です。更新を後回しにする理由はありません。
7.1.4での修正
7.1.4では、展開先のフォルダの名前をランダムにする、一覧表示を防ぐファイルを置く、といった形で、更新中のすき間をふさぐ修正が入りました。
ただし、セキュリティ情報サイトのAtlasは、7.1.3から7.1.4へ更新する、その1回の更新の最中は、まだ古い仕組みで展開されると指摘しています。念のため、次の章で紹介する「wp-content/upgrade/ を外から見られないようにする」設定もあわせて行うと安心です。
そのほかの21件：多くは「記事を書ける人」が条件
残りの21件は、ほとんどがアカウントを持っている人が悪用できる問題です。主なものを整理します。
| 種類 | 主な内容 | 悪用に必要な権限 |
|---|---|---|
| 保存型XSS（ブロック） | ブロックの書き方の細工、カテゴリー・コメントのページ送り・前後の投稿へのリンクの各ブロック | 寄稿者以上 |
| 保存型XSS（Interactivity API） | ページに動きをつける仕組み「Interactivity API」の複数の問題 | 寄稿者以上（一部は投稿者以上） |
| 保存型XSS（カスタマイザー） | テーマの「カスタマイズ」画面のプレビュー更新の処理 | 寄稿者以上 |
| 保存型XSS（個人データの削除依頼） | 「ツール → 個人データの消去」の画面 | 編集者以上 |
| サービス妨害（DoS） | Interactivity APIの細工で、サイトの動作を妨げる | 寄稿者以上 |
| 情報漏えい | 公開前のカスタマイザーの変更内容を、ログインしていない人が見られる | 不要 |
| 権限の問題 | コメント管理だけを許された独自の権限で、編集できない投稿の「メモ」を読み書きできる | 独自の権限設定がある場合 |
| その他 | マルチサイトのユーザー一覧や、画像・プレイリストブロックの処理の強化、ルート証明書の更新（eMudhraの失効によるもの） | — |
「保存型XSS」とは、記事などの中に悪意のあるプログラムを仕込んでおき、管理者がその記事を開いたときに動かす攻撃です。管理者の権限で操作されると、管理者アカウントを追加されるなど、サイトを乗っ取られるおそれがあります。
そのため、次のようなサイトは影響を受けやすくなります。
- 外部のライターや、複数のスタッフに記事を書いてもらっている
- 会員登録を受け付けていて、登録した人に投稿の権限を与えている
- 退職した人や、制作中に作った使っていないアカウントが残っている
逆に、管理者が1人で運営していて、ほかのアカウントがないサイトでは、これらの問題を悪用される可能性は低いと考えられます。ただし、更新が必要なことに変わりはありません。
なお、報告者の一覧には、AIを開発するAnthropicの名前も2件含まれています。AIを使った脆弱性探しが、WordPressのような広く使われるソフトウェアにも広がっていることがうかがえます。
SNS・ネットの情報をファクトチェック
今回の件では、海外のニュースサイトやSNSで強い表現の見出しも目立ちます。公式の発表とセキュリティ会社の分析をもとに確認します。
| よく見かける情報 | 実際のところ |
|---|---|
| 「ログインなしでサイトを乗っ取れる脆弱性」 | 一部正しい。ログイン不要なのは更新処理中の1件だけで、しかも更新中の数秒を狙う必要があります。残りの多くはアカウントが必要です |
| 「数百万のサイトに影響」 | 影響を受けるバージョンが4.7〜7.1.3と広いのは事実です。ただし、自動更新が有効なサイトの多くはすでに自動で修正版になっています |
| 「すでに攻撃されている」 | Wordfenceは公開後に狙っているとみられるアクセスを検知したと報告しています。一方で、実際に乗っ取りに成功した例は、この時点で公式には報告されていません |
| 「古いWordPressは直せない」 | 4.7以降の各系列には修正版が出ています。修正版が出ないのは4.6以前です |
古いバージョンを使っている場合
公式は「積極的にサポートしているのは最新版だけ」としつつ、4.7以降の各系列にも修正版を公開しています。主なものは次のとおりです。
| 使っている系列 | 影響を受ける件数 | 修正版 |
|---|---|---|
| 7.1 | 22件 | 7.1.4 |
| 7.0 | 22件 | 7.0.8 |
| 6.9 | 22件 | 6.9.11 |
| 6.8 | 20件 | 6.8.12 |
| 6.7 | 20件 | 6.7.11 |
| 6.6 | 19件 | 6.6.11 |
| 6.5 / 6.4 | 17件 | 6.5.14 / 6.4.14 |
| 6.3〜5.9 | 9件 | 6.3.14・6.2.15・6.1.16・6.0.18・5.9.20 |
| 5.8〜5.0 | 6件 | 5.8.19 〜 5.0.31 |
| 4.9〜4.7 | 2〜4件 | 4.9.35・4.8.34・4.7.39 |
| 4.6以前 | — | 修正版なし |
古い系列の修正版は、あくまで「応急処置」です。古い系列には、今回の22件以外にも直っていない問題が残っている可能性がありますし、プラグインやPHPの対応も追いつかなくなっていきます。できるだけ早く、最新の7.1系列へ移ることを計画しましょう。
また、Atlasによると、6.5以前の系列では、公開当日の時点で修正版が自動更新で配信されていなかったとのことです。古い系列を使っている場合は、自動更新に任せず、実際に修正版になったかを確認してください。
対処法
1. WordPressのバージョンを確認する
管理画面の「ダッシュボード → 更新」を開くと、今のバージョンが表示されます。「最新バージョンのWordPressをお使いです」と出ていて、バージョンが7.1.4（または上の表の修正版）になっていれば対応済みです。
WordPressは、標準ではこのようなセキュリティリリースを自動で更新します。ただし、次のような場合は自動更新が止まっていることがあります。
- 制作会社や管理者が、
wp-config.phpで自動更新を止める設定（WP_AUTO_UPDATE_COREをfalseにする、AUTOMATIC_UPDATER_DISABLEDをtrueにするなど）をしている - サイトにアクセスがほとんどなく、WordPressの予約処理（WP-Cron）が動いていない
- 管理用のプラグインや、レンタルサーバーの機能で更新を管理している
「自動更新のはずだから大丈夫」と思わず、一度画面で確認するのが確実です。
2. バックアップを取ってから更新する
7.1.4はセキュリティの修正だけのリリースなので、表示が崩れるような大きな変更はありません。とはいえ、念のためバックアップを取ってから更新しましょう。更新は「ダッシュボード → 更新」の「今すぐ更新」から行えます。
更新後は、トップページやお問い合わせフォームなど、よく使われるページが正しく表示されるかを確認しておくと安心です。
3. wp-content/upgrade/ を外から見られないようにする
Patchstackなどは、wp-content/upgrade/ へのWebからのアクセスを、サーバーの設定でまとめて拒否することを勧めています。このフォルダは更新のための作業場所なので、外から見られる必要はありません。
Apacheのサーバー（多くのレンタルサーバー）では、サイトのいちばん上の .htaccess の、# BEGIN WordPress より上に次の1行を追加します。
RedirectMatch 403 /wp-content/upgrade/nginxのサーバーでは、サイトの設定（server ブロック）に次を追加します。^~ を付けないと、PHPファイルへのアクセスが拒否されないことがあるので注意してください。
location ^~ /wp-content/upgrade/ {
deny all;
}設定したら、ブラウザで https://（あなたのサイト）/wp-content/upgrade/ を開き、「403 Forbidden」などのエラーになることを確認します。
なお、wp-content/upgrade/ の中に .htaccess を置く方法は、更新のたびにフォルダの中身が消されるため、効果が続きません。必ずサイトのいちばん上の .htaccess か、サーバーの設定に書いてください。
.htaccessの書き間違いは、サイト全体が表示されなくなる原因になります。作業の前に元のファイルを保存しておき、自信がない場合はサーバー会社や制作会社に相談してください。
4. 記事を書ける権限を持つアカウントを見直す
「ユーザー → ユーザー一覧」を開き、次の点を確認します。
- 見覚えのないアカウントがないか（特に管理者・編集者）
- 退職した人や、制作中に作った使っていないアカウントが残っていないか
- 必要以上に強い権限（管理者・編集者）を与えていないか
使っていないアカウントは削除し、外部のライターなどには、必要な範囲の権限だけを与えるようにしましょう。
C-TechLabにできること
C-TechLabでは、WordPressサイトの運営者さまや制作会社さまに向けて、次のようなお手伝いをしています。
- WordPress本体の更新：バックアップを取ったうえで7.1.4へ更新し、表示やフォームの動作を確認します
- 古いバージョンからの移行：7.0以前や6.x系列のサイトを、テーマ・プラグイン・PHPの対応を確認しながら最新版へ移します
- サーバー設定の見直し：
wp-content/upgrade/の保護や、自動更新が正しく動いているかを確認します - アカウントの点検：見覚えのないユーザーや、不要な権限がないかを確認します
- 月額の運用保守：WordPress本体・プラグインの更新やバックアップを継続して行い、今回のような急なセキュリティリリースにもすばやく対応します
「更新ボタンを押していいのか分からない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。詳しくはホームページ運用保守のページもご覧ください。
よくある質問
WordPress 7.1.4はいつ公開されましたか？
WordPress 7.1.4は2026年10月28日に公開されました。22件の脆弱性を修正するセキュリティリリースで、WordPress公式はすぐに更新するよう呼びかけています。新しい機能は含まれていません。
自動更新を有効にしていれば、何もしなくていいですか？
自動更新が正しく動いていれば、多くのサイトはすでに7.1.4になっています。ただし、wp-config.phpの設定や管理用プラグインで自動更新が止められている場合や、アクセスが少なくWP-Cronが動いていない場合は更新されません。管理画面の「ダッシュボード → 更新」で、実際のバージョンを確認してください。
ログインなしで乗っ取られる危険はありますか？
ログインなしで悪用されうるのは、WordPress本体の更新処理中の競合状態の問題1件です。更新が行われている数秒のあいだを狙う必要があるため、Patchstackは悪用は現実的ではないと評価しています。一方で、Wordfenceは公開後にこの問題を狙っているとみられるアクセスを検知しており、7.1.4への更新と、wp-content/upgrade/ へのアクセス制限をあわせて行うのが安全です。
古いバージョンのWordPressを使っています。どうすればいいですか？
WordPress 4.7以降の各系列には、今回の修正を含む修正版（7.0.8、6.9.11、6.8.12など）が公開されています。まずは使っている系列の修正版になっているかを確認してください。ただし、公式が積極的にサポートしているのは最新版だけで、4.6以前には修正版が出ていないため、最新の7.1系列への移行を計画するのがおすすめです。
7.1.4に更新すると、サイトの表示が崩れますか？
WordPress 7.1.4はセキュリティの修正だけのリリースなので、通常は表示が崩れることはありません。ただし、念のためバックアップを取ってから更新し、更新後にトップページやお問い合わせフォームなどの主要なページが正しく動くかを確認すると安心です。
参考情報
- WordPress.org「WordPress 7.1.4」（2026年10月28日）
- WordPress.org Documentation「Version 7.1.4」（2026年10月28日）
- Patchstack「WordPress 7.1.4 Security Release」
- Wordfence「WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release」
- Atlas「WordPress’s October 2026 Upgrade RCE and Stored XSS Fixes: WordPress 7.1.4」
- Search Engine Journal「WordPress Announces Another Security Release: Version 7.1.4」（2026年10月28日）
- WordPress.org「WordPress 7.1.3 Maintenance and Security Release」（2026年10月6日）
