WordPress 7.1.4、12項目のセキュリティ修正 サイトを持つ人はすぐ更新を

会社のホームページやブログを、WordPressで作っていないだろうか。世界で広く使われている、サイトを作って更新するためのソフトだ。そのWordPressに、セキュリティの修正が出た。

WordPressの運営チームは2026年10月28日（米国時間）、7.1.4を公開した。中身はセキュリティの修正で、運営チームは「すぐにサイトを更新するよう勧める」としている。日本語版のダウンロードのページも、すでに7.1.4になっている。

何が直ったのか

直したのは12項目だ。目立つのは、WordPress自体を更新している最中に、外から命令を実行されるおそれがあった弱点だ。サイトを安全にするための作業の最中に、危険が生じうる状態だった。

残りの多くは、「格納型クロスサイトスクリプティング（XSS）」と呼ばれる種類だ。細工した文字列をサイトに保存させておくと、そのページを開いた人のブラウザーで不正なプログラムが動いてしまう。ブロックと呼ぶ部品のいくつかや、ユーザーのログイン名、個人データの削除の依頼などに、この弱点があった。

ほかに、公開していない画面の変更の内容を、ログインしていない人に知られてしまう弱点も直した。運営チームの発表は、これらが悪用されたかどうかには触れていない。

報告した人の中には、AIの会社のAnthropicの名前もある。12項目のうち2項目が、Anthropicからの報告だった。

自動で入るか、確かめる

自動更新が有効になっているサイトでは、7.1.4が自動で入る。それ以外は、管理画面の「更新」から「今すぐ更新」を押す。レンタルサーバーの機能で自動更新を止めている場合もあるので、管理画面でバージョンを確かめておきたい。

古いバージョンを使い続けている人もいるだろう。運営チームは、修正を4.7までの古いバージョンにも移す作業を進めていて、準備ができたものから出すとしている。ただし、運営チームが積極的に面倒を見るのは最新版だけだ。