WordPress 7.1.4で22件の脆弱性を修正　更新処理の弱点にはすでに攻撃の試みも

この記事でわかること

• WordPress 7.1.4で修正された脆弱性と、とくに注意したい更新処理の弱点
• 自分のサイトが7.1.4になっているかを確かめる方法
• 7.1系より古いWordPressを使っている場合の修正版

WordPress 7.1.4で22件の脆弱性を修正

WordPressの開発チームは2026年10月28日（現地時間）、セキュリティリリースの「WordPress 7.1.4」を公開しました。修正された脆弱性は22件。公式はセキュリティリリースであることから、ただちにサイトを更新するよう勧めています。

もっとも重いのは、WordPress本体の更新処理にあった弱点です。更新ファイルを展開している短い時間に、ログインしていない第三者がサーバー上でコードを実行できるおそれがありました。ほかの修正の多くは、ブロックやカスタマイザー、Interactivity APIなどにある格納型XSS（クロスサイトスクリプティング）です。

アカウントなしで悪用できるのは、22件のうちごく一部。残りの多くは、寄稿者以上の権限を持つユーザーがいて初めて成り立つ問題です。セキュリティ企業のPatchstackは、更新とあわせて、寄稿者以上の権限を誰が持っているかを確認するよう勧めています。このほか、eMudhraのルート証明書が失効したことを受けて、WordPressに同梱されているルート証明書も更新されました。

更新処理の弱点には、すでに攻撃の試み

更新処理の弱点については、セキュリティ企業のWordfence（Defiant）が攻撃の試みを観測したと報告しています。同社によると、検知ルールを導入して9分後に最初の該当があり、最初の21時間で1万8,500件を超えるリクエストを記録しました。攻撃が成功した例は報告されていません。

Wordfenceの評価では、CVSSスコア（深刻度の目安）は8.1。影響を受けるのはWordPress 4.7～7.1.3です。WordPressは本体を丸ごと更新するとき、新しいファイルを一時的に「wp-content/upgrade」の下へ展開します。7.1.3までは、この展開先の場所が予測しやすく、展開中のわずかな時間にインストーラーへアクセスされると、攻撃者のコードが実行されるおそれがありました。

狙えるのは更新中の数秒程度で、攻撃の難易度は高いとされています。ただ、7.1.3以前のサイトが本体の更新を始めるたびにこの時間帯が生まれるため、攻撃者は該当する場所へのアクセスを繰り返しているとみられます。Patchstackによると、7.1.4では展開先のフォルダ名にランダムな文字列を付けるなどの変更が加わりました。サーバーやCDNの設定を自分で管理している場合は、「wp-content/upgrade」への外部からのアクセスを遮断しておく対策も同社が勧めています。

自分のサイトが7.1.4になっているか確かめる

自動バックグラウンド更新に対応しているサイトでは、7.1.4への更新が自動で始まります。とはいえ、実際に更新が終わっているかはサイトごとに違うので、一度は自分の目で見ておきたいところです。

管理画面の「ダッシュボード」→「更新」を開くと、使っているWordPressのバージョンが表示されます。7.1系で7.1.4より前なら、同じ画面に表示される更新ボタンから更新できます。管理画面から更新できない場合は、レンタルサーバーの管理画面にあるWordPressの更新機能を使うか、サーバー会社やサイトの制作者に相談してください。

7.1系より古いWordPressを使っている場合

今回の修正は、4.7系までさかのぼって古いバージョン向けにも提供されています。主な系列の修正版は次のとおりです。

4.7～6.4系にも、それぞれ修正版が出ています。4.6以前はセキュリティ更新の対象外です。

ただし、公式が積極的にサポートしているのは最新版だけ。古い系列への修正は、あくまで善意で提供されているものです。古い系列にとどまる理由がないなら、この機会に7.1.4へ上げておくほうが確実です。

修正内容の一覧と各系列の修正版は、WordPress公式ドキュメントの「Version 7.1.4」のページで確認できます。