WordPress 7.1.4が公開！22件の脆弱性を修正、自分のサイトは対象？更新の手順

2026年10月28日（日本時間では29日の未明）、WordPressの開発チームは、複数の脆弱性を直すセキュリティリリース「WordPress 7.1.4」を公開しました。公式は、セキュリティのための更新なので、サイトをすぐに更新するよう呼びかけています。

当記事では、直った問題の中身と、WordPressでサイトを運営している人が「自分は対象？何をすればいい？」を確かめる手順を、公式の情報をもとに整理します。

WordPress 7.1.4が公開、すぐの更新を推奨（2026年10月28日）

WordPress公式の発表はこちら

WordPress.orgの公式ニュースでは、2026年10月28日付で「WordPress 7.1.4」が公開されました。発表は「複数の問題を直すセキュリティリリース」と説明し、セキュリティリリースなので、すぐにサイトを更新することをすすめる（編集部訳）としています。

7.1.4は、次の大型版を待たずに出された短い周期の更新です。次の大型版「7.2」は、2026年12月8日の公開が予定されています。

>>WordPress 7.1.4（WordPress.org 公式ニュース・英語）

>>バージョン7.1.4の更新情報（WordPress.org 公式・英語）

そもそも脆弱性・セキュリティリリースとは？

脆弱性（ぜいじゃくせい）とは、ソフトウェアの「弱点」のことです。家にたとえると鍵がかかりにくくなった窓のようなもので、放っておくと悪用されるおそれがあります。セキュリティリリースは、こうした弱点をふさぐための更新で、出たら早めに当てるのが基本です。

WordPress 7.1.4で直った問題は？主なポイント4つ

公式の更新情報ページ（HelpHub）によると、今回の更新で直したのは全部で22件の脆弱性です。中身を4つに分けて見ていきます。

1. 更新の途中に、外からプログラムを動かされるおそれ

公式の発表には、WordPressの更新の処理にある弱点で、更新している間に「リモートコード実行」につながるおそれがあるもの、と書かれています。公式の更新情報ページでは、本体の更新中に処理の順番が競り合う「競合状態」が原因と説明されています。

リモートコード実行（RCE）とは、離れた場所にいる攻撃者が、サーバーの上で勝手にプログラムを動かせてしまう状態のことで、サイトの乗っ取りにつながる危ない種類です。公式の説明では、この問題が起こりうるのはWordPress本体を更新している最中の時間です。

なお、深刻度を0〜10点で表す「CVSS」の点数は、2026年10月29日時点で公式の発表と更新情報ページには書かれていません。

2. 悪いスクリプトを仕込まれる「XSS」が多数

22件のうち多くは「クロスサイトスクリプティング（XSS）」です。XSSは、ページの中に悪いスクリプト（小さなプログラム）を仕込まれ、見た人のブラウザで動かされてしまう問題です。

公式の一覧では、ブロックの書き方、カテゴリーやコメントのページ送りのブロック、画像やプレイリストのブロック、カスタマイザー、個人データの削除依頼の画面などで見つかったものが並んでいます。その多くは、「寄稿者」以上の権限（ログインして記事を書ける立場）が必要なものと記されています。

3. 下書きの変更が見えてしまう問題など

ほかにも、カスタマイザーで公開前に保存した変更が、ログインしていない訪問者に見えてしまう問題が直りました。また、コメントを管理できる一部の権限の人が、自分では編集できない投稿のメモ（ノート）を読めてしまう権限の問題なども含まれています。

4. 証明書の入れ替え（eMudhraの件）

WordPressに同梱されているルート証明書（通信相手が本物かを確かめるための「身分証の元帳」）も更新されました。公式の発表によると、認証局のeMudhraの証明書が取り消されたことに合わせた変更です。

▶ 関連記事：eMudhraの証明書問題、iPhone・Macは何もしなくてOK？Appleが自動でブロック

自分のサイトは対象？どのバージョンなら安全？

7.1系は7.1.4、古い系統は修正版に

公式の更新情報ページによると、WordPress 7.0と6.9は22件すべての影響を受けます。古い系統ほど影響する件数は減りますが、4.7までのすべての系統に修正版が用意されています。

使っている系統	更新後のバージョン	影響する件数
7.1	7.1.4	—（今回の最新版）
7.0	7.0.8	22件すべて
6.9	6.9.11	22件すべて
6.8／6.7	6.8.12／6.7.11	20件
6.6	6.6.11	19件
6.5／6.4	6.5.14／6.4.14	17件
6.3〜5.9	6.3.14〜5.9.20	9件
5.8〜5.0	5.8.19〜5.0.31	6件
4.9	4.9.35	4件
4.8／4.7	4.8.34／4.7.39	2件

※公式の更新情報ページ（HelpHub）より。系統ごとの版番号は公式ページでご確認ください

一方で、4.6以前のWordPressには、もうセキュリティの更新が出ません。公式も、きちんとサポートしているのは最新のバージョンだけだと念を押しています。古い系統を使っている場合は、最新版への切り替えを考えましょう。

AIの会社の名前が報告者に

公式の発表では、脆弱性を報告した人や組織の名前が並び、そのうち2件の報告者として「Anthropic」の名前があります。10月6日の「7.1.3」でも、Anthropicや、OpenAIと協力したセキュリティ企業が報告者として載っていました。

見つけ方は書かれていませんが、AIの会社が弱点探しにかかわる流れはPHPの件でも見られました。

>>WordPress 7.1.3 メンテナンス・セキュリティリリース（WordPress.org 公式ニュース・編集部訳）

▶ 関連記事：PHPに重大な脆弱性、AIが発見に協力！WordPressなどサイト運営者がやること

WordPressでサイトを持っている人がやること

サイトを運営している人は、次の順番で確かめておきましょう。

まずはバージョンを確かめる

管理画面にログインし、左のメニューの「ダッシュボード」→「更新」を開くと、今のバージョンと、新しい版があるかどうかが表示されます。7.1系なら7.1.4になっていればOKです。古い系統の人は、上の表の版になっているかを見てください。

自動更新ですでに終わっていることも

WordPressには、小さな更新やセキュリティの更新を、裏側で自動で当てる仕組みがあります。公式の発表でも、自動更新に対応したサイトでは更新が自動で始まると案内されています。まずは「更新」の画面で、終わっているかを確かめましょう。

手動で更新する前にバックアップを取る

公式の「WordPressの更新」のページでは、始める前にサイトのバックアップを取っておくのがよいとしています。問題が起きても元に戻せるからです。レンタルサーバーのバックアップ機能や、バックアップ用のプラグインを使う方法があります。

準備ができたら、「ダッシュボード」→「更新」の「今すぐ更新」を押すだけで更新できます。終わるまで画面を閉じずに待ちましょう。

>>WordPressの更新（WordPress.org 公式ドキュメント・編集部訳）

テーマ・プラグインも一緒に更新する

同じ「更新」の画面には、プラグインやテーマの新しい版も表示されます。本体だけでなく、こちらも最新にしておきましょう。使っていないプラグインやテーマは、削除しておくと弱点の入口を減らせます。

国の注意喚起は出ている？

2026年10月29日時点で、JPCERT/CCとIPAの注意喚起の一覧に、WordPress 7.1.4についての掲載はありません。国の注意喚起は、まとめのページで確かめられます。

▶ 関連記事：セキュリティ注意喚起まとめ【最新順】国家サイバー統括室・IPA・JPCERTの発表

※2026年10月29日時点・WordPress.org 公式ニュース「WordPress 7.1.4」（2026年10月28日）、バージョン7.1.4の更新情報（HelpHub）、公式ドキュメント「WordPressの更新」、JPCERT/CC・IPAの注意喚起一覧より

【まとめ】WordPress 7.1.4は「すぐ更新」が基本

WordPress 7.1.4は、更新中に外からプログラムを動かされるおそれがある問題や、多数のXSSなど22件を直したセキュリティリリースです。WordPressでサイトを持っている人は、管理画面の「更新」でバージョンを確かめ、バックアップを取ったうえで本体・テーマ・プラグインを最新にしておきましょう。