このページは、WordPress 本体の脆弱性と緊急更新を日付つきで追記していく常設ページです。「WordPress の脆弱性」というニュースを見たときに、自分のサイトは該当するのか、何をすればよいのかを、版ごとに確かめられるようにまとめます。事実は WordPress.org の公式発表と IPA（情報処理推進機構）の注意喚起だけを根拠にしています。
結論：10月29日時点の最新は WordPress 7.1.4。管理画面で版を確かめ、7.1.4 になっていなければ更新する
2026年10月29日時点で、WordPress の最新版は 7.1.4 です。WordPress.org は10月28日（米国時間。日本時間では29日の未明）に 7.1.4 をセキュリティリリースとして公開し、13項目の修正を入れたうえで「すぐに更新する」よう勧めています（WordPress.org の発表）。修正には、更新作業の途中に遠隔からコードを実行されうる弱点（リモートコード実行）が含まれます。
発表の時点で、WordPress.org は実際に悪用されているとは書いていません。自動更新が有効なサイトは順次 7.1.4 に上がりますが、環境によっては自動更新が止まっていたり、失敗していたりします。管理画面で版を確かめるのが確実です。
- 今日：管理画面の「ダッシュボード」→「更新」で、版が 7.1.4 になっているかを見る
- なっていなければ：バックアップを取ってから「今すぐ更新」を押す
- あわせて：プラグイン・テーマの更新も確かめる（本体の更新では直らない）
更新履歴
- 2026年10月29日: 常設ページとして公開。WordPress 7.1.4（10月28日米国時間・13項目のセキュリティ修正）を最初の追記として掲載。2026年7月以降のセキュリティリリースを一覧にした。
自分のサイトは該当するか：版別の早見表
まず、自分のサイトの版を確かめます（手順は WordPress と PHP のバージョン確認（管理画面に入れない場合も））。そのうえで、次の表の行を見てください。
いまの版 | 状態（10月29日時点） | やること |
|---|---|---|
7.1.4 | 最新。10月28日までに発表された修正がすべて入っている | そのまま。プラグイン・テーマの更新だけ確かめる |
7.1.0〜7.1.3 | 7.1.4 の修正（13項目）が入っていない | 7.1.4 へ更新する |
7.0.x・6.x などの古い系列 | WordPress.org は修正を 4.7 系まで順次さかのぼって出す（バックポート）としているが、7.1.4 の発表時点では準備中で、版番号は示していない。また「積極的にサポートしているのは最新版だけ」と書いている | 7.1 系への更新を計画する。すぐに上げられない場合は、少なくともその系列の最新版を当てる |
4.6 以前 | セキュリティ修正の対象外（さかのぼるのは 4.7 系まで） | 今後の脆弱性に修正が出ない。早めに作り直しか移行を検討する |
古い系列のままにしている理由が「テーマやプラグインが新しい版で動かない」「PHP が古い」ことなら、本体だけでなくサーバーの PHP の版もあわせて見直す必要があります。PHP の期限は PHP のサポート期限と脆弱性にまとめています。
2026年7月以降のセキュリティリリース一覧
WordPress.org のセキュリティ発表を新しい順に並べました。「悪用の報告」は、各発表と IPA の注意喚起に書かれている範囲です。
公開日（米国時間） | 版 | 主な内容 | 悪用の報告 |
|---|---|---|---|
2026年10月28日 | 7.1.4 | 13項目。更新作業中のリモートコード実行、複数の保存型XSS、カスタマイザーの未公開の変更を未ログインの第三者が見つけられる問題など。同梱のルート証明書も更新 | 発表に記載なし |
2026年10月6日 | 7.1.3 | セキュリティ修正7項目（コメント管理画面の保存型XSS、エクスポート機能のSQLインジェクション、非公開・未公開の投稿のコメントが未ログインで見える問題など） | 発表に記載なし |
2026年9月22日 | 7.1.2 | 深刻度「Critical」1件（CVE-2026-87902）。条件がそろうと未ログインの第三者がサーバー上の PHP ファイルを読み込ませ、リモートコード実行につながりうる | 発表に記載なし |
2026年9月17日 | 7.1.1 | セキュリティ修正11項目（未ログインの訪問者による保存型XSS、寄稿者以上の権限による任意の投稿の上書きなど） | 発表に記載なし |
2026年8月12日 | 7.0.4 | セキュリティ修正1件 | 発表に記載なし |
2026年8月6日 | 7.0.3 | 複数のセキュリティ修正 | 発表に記載なし |
2026年7月17日 | 7.0.2（6.9.5・6.8.6） | 通称「wp2shell」。Critical と High の2件（CVE-2026-60137、CVE-2026-63030）。組み合わせるとリモートコード実行。WordPress.org が強制の自動更新を実施 | あり。IPA によると、米国 CISA が7月21日に「悪用された脆弱性」の一覧（KEV）に掲載 |
2026年10月21日には、WordPress 本体ではなく PHP の重大な脆弱性（通称 PHP2Shell）について WordPress.org が更新を呼びかけています。こちらは WordPress を更新しても直りません。PHP2Shell でサイト運営者が今やることを見てください。
個別の更新内容
2026年10月28日：WordPress 7.1.4（セキュリティリリース・13項目）
- 何が：WordPress.org は13項目の修正を入れた 7.1.4 を公開しました。中身は、更新作業の途中にリモートコード実行につながりうる弱点、ブロック・Interactivity API・カスタマイザー・カテゴリーブロック・プレイリストと画像ブロック・コメントのページ送りブロック・個人データ削除依頼・ユーザー名を使った複数の保存型XSS（ページに不正なスクリプトを埋め込まれる問題）、未公開のカスタマイザーの変更を未ログインの第三者が見つけられる問題、Interactivity API のサービス妨害などです（発表）。
- 深刻度・CVE：発表には各項目の深刻度も CVE 番号も書かれていません（10月29日時点）。
- 悪用：発表に悪用の記載はありません。
- 誰に：7.1.3 以前のサイトすべて。古い系列への修正（4.7 系まで）は準備ができたものから順次出すとしています。開発中の 7.2 Beta 3 にも同じ修正が入っています。
- やること：7.1.4 へ更新する。自動更新が有効なら順次上がるので、上がったかを管理画面で確かめる。
- 更新するまでの間：公式は回避策を示していません。管理者アカウントの棚卸しやサーバー会社の WAF（不正な通信を止める仕組み）は被害を減らす助けにはなりますが、完全な対策ではありません。更新がいちばんの対策です。
2026年7月17日：WordPress 7.0.2 ほか（wp2shell・悪用あり）
- 何が：CVE-2026-60137 と CVE-2026-63030 の2件。IPA は、組み合わせる（通称 wp2shell）と WordPress 6.9 以降で遠隔から任意のコードを実行されるおそれがあると説明しています（IPA の注意喚起）。
- 誰に：6.9.0〜6.9.4 と 7.0.0〜7.0.1（2件とも）、6.8.0〜6.8.5（CVE-2026-60137 のみ）。6.8 より前は影響を受けない、と IPA は書いています。
- 修正版：7.0.2・6.9.5・6.8.6（WordPress.org の発表）。
- 悪用：IPA によると、米国 CISA が7月21日（現地時間）に2件とも「悪用された脆弱性」の一覧に載せ、攻撃を実証するコードも公開されています。
- やること：WordPress.org は強制の自動更新を行いましたが、IPA は「環境によっては自動更新が有効になっていない、または失敗している」可能性を挙げ、管理画面で版を確かめるよう呼びかけています。いま 7.1.4 になっていれば、この修正も入っています。
自動更新が効いているかを確かめる
WordPress.org の発表には毎回「自動バックグラウンド更新に対応したサイトは自動で更新が始まる」と書かれています。ただし、次のような場合は上がらないことがあります。wp2shell のときも、IPA は自動更新に頼らず版を確かめるよう呼びかけました。
見ること | どこで | 上がっていないときに考えられる原因の例 |
|---|---|---|
いまの版 | 「ダッシュボード」→「更新」 | — |
自動更新の設定 | 同じ画面の自動更新の表示 | 制作会社が意図的に止めている／保守プラグインで止めている |
サイトの状態 | 「ツール」→「サイトヘルス」 | ファイルの書き込み権限、サーバーの設定、定期処理（WP-Cron）が動いていない |
制作会社に保守を任せている場合は、自分で更新ボタンを押す前に「誰が更新する約束か」を確かめてください。テーマを直接書き換えているサイトでは、更新の順番を誤ると表示が崩れることがあります。
更新の前後にやること
- バックアップ：サーバーの自動バックアップの有無と、何日前まで戻せるかを確かめる。無ければ、ファイルとデータベースの両方を取る
- 本体を更新：「今すぐ更新」。終わったら版が 7.1.4 になったかを見る
- プラグイン・テーマを更新：本体の修正ではプラグインの脆弱性は直らない。更新が長く止まっているプラグインは、置き換えを検討する
- 表示とフォームを確かめる：トップ・主要ページ・お問い合わせフォームの送信まで試す。画面が真っ白・ログインできないときは ログイン画面が404・真っ白になる原因を参照
- 管理者アカウントを見直す：退職者・外注先のアカウントや、使っていない管理者が残っていれば外す
今回の修正には、ユーザー名や個人データ削除依頼を使って不正なスクリプトを仕込まれる問題が含まれます。見覚えのないユーザーや削除依頼が残っていないかも、更新のついでに見ておくと安心です。改ざんの疑いがある場合は ホームページが改ざんされたときの確認手順と復旧へ進んでください。
WordPress の更新を誰が・いつ行うかが決まっていないサイトは、脆弱性のたびに同じ不安を抱えることになります。私たちはホームページの制作と、公開後の更新・保守も承っております。記事の途中で恐縮ですが、更新の段取りごと任せたいとお考えでしたら、よろしければサービスの内容もご覧いただけたら嬉しいです。
更新ボタンを押す前のバックアップ、自動更新が止まる設定、失敗したときの戻し方までの手順はWordPressの更新手順（壊さない順番とバックアップ）にまとめています。
まとめ：版を確かめるのが最初の一手
- 10月29日時点の最新は WordPress 7.1.4。7.1.3 以前なら更新する
- 7.1.4 の修正について、WordPress.org は悪用を報告していない。2026年7月の wp2shell は悪用が報告された
- 自動更新に任せきりにせず、管理画面で版を確かめる
- 本体の更新ではプラグイン・テーマ・PHP の脆弱性は直らない
このページは、WordPress の新しいセキュリティリリースや注意喚起が出るたびに追記します。サイト全体で最低限やっておく対策は 中小企業のホームページのセキュリティ対策5つにまとめています。
よくある質問
WordPress 7.1.4 は急いで更新すべきですか？
はい。WordPress.org はセキュリティリリースとして公開し、すぐに更新するよう勧めています。更新作業中のリモートコード実行につながりうる弱点を含む13項目の修正が入っています。10月29日時点で、発表に悪用の記載はありません。
自動更新を有効にしていれば何もしなくてよいですか？
自動更新に対応したサイトは順次更新されますが、設定や環境によっては止まっていたり失敗していたりします。2026年7月の wp2shell のときも、IPA は管理画面で版を確かめるよう呼びかけました。ダッシュボードの「更新」で 7.1.4 になっているかを見てください。
古い版（7.0 や 6.x）のままでも修正は出ますか？
WordPress.org は 4.7 系までさかのぼって修正を順次出すとしていますが、7.1.4 の発表時点では準備中で、版番号は示していません。また積極的にサポートしているのは最新版だけとしています。7.1 系への更新を計画してください。4.6 以前には修正が出ません。
WordPress を更新すれば PHP2Shell も直りますか？
直りません。PHP2Shell はサーバーで動く PHP の脆弱性なので、PHP 自体の更新が必要です。共用サーバーなら事業者のお知らせで対応状況を確かめてください。
更新するまでの間に何かできることはありますか？
公式は回避策を示していません。使っていない管理者アカウントを外す、サーバー会社の WAF を有効にする、といったことは被害を減らす助けになりますが、完全な対策ではありません。更新がいちばんの対策です。