WordPressに脆弱性、7.1.4で12件を修正　すぐの更新を推奨

2026年10月29日 6:082026年10月29日 6:48

WordPress.orgは2026年10月28日（日本時間10月29日2時13分ごろ）、セキュリティ修正のみのWordPress 7.1.4を公開した。更新処理中にリモートコード実行につながる弱点や、ブロック・Interactivity API・カスタマイザー・ユーザー名まわりの保存型XSS、未公開のカスタマイザー変更の漏えいなど12件を修正し、同梱のルート証明書も更新している。公式はサイトをすぐに更新するよう推奨している。

要点（3行）

WordPress 7.1.4はセキュリティ修正専用のリリース（公式ニュース、2026年10月28日）。すぐの更新を推奨
更新処理中のリモートコード実行につながる弱点、保存型XSS、未公開カスタマイザー変更の発見、Notesの権限まわりなど12件を修正。同梱ルート証明書も更新
管理画面の「更新」から適用可能。自動更新が有効なサイトは自動で始まる。セキュリティ修正は4.7までの対象ブランチへ順次バックポート（作業中）。同日7.2 Beta 3も公開

何が発表されたか

一次情報はWordPress.org公式ニュース「WordPress 7.1.4」（Aaron Jorbin、2026年10月28日）だ。セキュリティリリースのため、公式はサイトをただちに更新するよう求めている。ダウンロードはWordPress.orgから、またはダッシュボードの「Updates」から「Update Now」で行える。自動バックグラウンド更新に対応したサイトでは、更新処理が自動で始まる。

7.1.4はショートサイクルのリリースで、次のメジャーは7.2（2026年12月8日予定）と案内されている。

影響を受けるサイト

WordPressで動いているサイトが対象になる。公式はセキュリティリリースとして即時更新を推奨している。利用中のバージョンが最新系でない場合も、セキュリティ修正の対象ブランチ（現時点で4.7まで）向けの修正版が順次出るため、自系列の最新修正版への更新が実務的だ。

すぐ取るべき対応

管理画面の「更新」からWordPress 7.1.4へ更新する（旧系列を使っている場合は、その系列向けの最新セキュリティ修正版へ）
自動更新が有効なサイトでも、反映されたかを管理画面で確認する
本番適用前に、可能ならステージングでテーマ・プラグインの動作をざっと確認する（セキュリティ修正のため、確認を理由に更新を長く先延ばししない）

修正の概要（公式）

公式が挙げているセキュリティ関連の修正は次のとおりだ（報告者名は省略し、内容の要約のみ）。

WordPressのアップグレード処理における弱点。更新の時間帯にリモートコード実行につながりうる
特別に細工したブロックマークアップによる保存型XSS
プライバシーの「データ削除リクエスト」作成を悪用した保存型XSS
Interactivity APIにおける複数の保存型XSS
Interactivity APIにおける保存型のサービス拒否（DoS）
カスタマイザーのセレクティブリフレッシュにおける保存型XSS
カテゴリーブロックにおける保存型XSS
特別に細工したユーザーログイン名による保存型XSS
未公開のカスタマイザー変更セットを、未認証の利用者が発見しうる問題
プレイリストおよび画像ブロックにおける保存型XSS
core/comments-pagination-next および core/comments-pagination-previous ブロックにおける保存型XSS
投稿の編集権限がない特権ユーザーでも、その投稿に付いたNotesを読めてしまう問題
eMudhra失効に伴う、同梱ルート証明書の更新