【脆弱性修正】WordPress 7.1.4がリリースされました

OVERVIEW

2026年10月28日、WordPress 7.1.4 がリリースされました。脆弱性を直す更新で、公式はすぐに更新するよう勧めています。

同じ修正は WordPress 4.7 系まで移植され、WordPress 7.0.8 や 6.9.11 などの修正バージョンが出ています。WordPress 4.6 以前には来ません。

ここでは、WordPress 7.1.4 がいつ、どういう更新として出たのかと、直した中身の条件を、公式の告知に沿って書きます。

WordPress 7.1.4がリリースされました

2026年10月28日、WordPress.org は WordPress 7.1.4 をリリースしました。複数の脆弱性を直す更新で、公式はすぐに更新するよう勧めています。

プラグインやテーマ、サーバーの PHP を更新しても、WordPress 本体のバージョンは変わりません。PHP そのものの脆弱性は、PHP の脆弱性の記事で別に書いています。

WordPress 7.1.4 の説明ページは、直した内容を17の項目に分け、件数としては脆弱性22件と数えています。多くは保存型のクロスサイトスクリプティング（XSS）で、投稿の本文などに仕込まれたスクリプトがそのまま保存され、そのページを開いた人のブラウザで動いてしまう種類です。場所は、ブロックエディターの部品、ブロックに動きを付ける Interactivity API、カスタマイザーのプレビュー、個人データの消去依頼の画面などに分かれています。

XSS 以外にも、メモ機能の権限の直し、マルチサイトのユーザー一覧での表示の強化、同梱しているルート証明書の更新（認証局 eMudhra の失効による）などが入っています。

7.1 系は、8月19日の WordPress 7.1 公開から数えて、これが4つ目の修正バージョンです。告知は WordPress 7.1.4 を短い周期のリリースと呼び、次のメジャーの WordPress 7.2 は12月8日の予定だと書いています。リリース一覧は、7.1 系で安全に使えて保守されているのは、最新の WordPress 7.1.4 だけだとしています。

古い系統にも、同じ修正を入れたバージョンが出ている

7.1 系より前の系統を使い続けているサイトにも、修正バージョンがあります。告知は、修正を「厚意として」4.7 系まで移植したと書いています。告知の本文には準備ができ次第出すとありますが、WordPress 7.1.4 の説明ページは各系統の修正バージョンを公開済みとして並べています。当たる件数は、系統ごとに違います。

• WordPress 7.0 系：22件すべてに該当。修正バージョンは 7.0.8
• WordPress 6.9 系：22件すべてに該当。修正バージョンは 6.9.11
• WordPress 6.8 系・6.7 系：20件に該当。修正バージョンは 6.8.12 と 6.7.11
• WordPress 6.6 系：19件に該当。修正バージョンは 6.6.11
• WordPress 6.5 系から 4.7 系：17件から2件に該当。修正バージョンは 6.5.14 から 4.7.39 まで、系統ごとに WordPress 7.1.4 の説明ページにあります
• WordPress 4.6 以前：セキュリティ更新は来ません

同じ告知は、積極的に保守しているのは最新バージョンだけだ、とも念を押しています。古い系統の修正バージョンは、その系統に留まっている間の手当てで、WordPress 4.6 以前にはその手当ても届きません。

直ったものの多くは、投稿できるアカウントを持つ人が起点になる

WordPress 7.1.4 の説明ページの項目の多くには、「Contributor+」と付いています。WordPress の権限でいう寄稿者以上、つまり記事を書いて保存できるアカウントを持つ人が起点になる、という意味です。投稿者以上（Author+）、編集者以上（Editor+）と書かれた項目もあります。

保存型 XSS は、仕込んだ人より強い権限の人が開いたときに問題になります。Patchstack の整理では、ブロックの区切りの件は編集者や管理者がその投稿をエディターで開くこと、カスタマイザーの件は管理者がカスタマイザーを開くことが条件です。

17の項目のうち Interactivity API に関する7つは、ブロックに動きを付けるための属性が、権限の弱いユーザーの投稿でも消されずに残っていたことが共通の原因だ、と Patchstack は書いています。同じ系統のサービス妨害は、閲覧者のブラウザのタブが固まるもので、サーバーが止まる種類ではないそうです。

そのため、記事を書けるアカウントを社内の数人だけで持っているサイトと、外部のライターにも渡しているサイトでは、今回の修正の重さが違います。メモ機能の件も条件付きです。コメントを承認できる権限と投稿を編集する権限を分けたカスタム権限があるときの話で、既定の権限のままなら当たらない、と Patchstack は書いています。

アカウントなしで届くのは2件。1件は更新処理そのものにあった

直ったもののなかで、ログインしていない人から届くとされるのは2件です。ひとつは公開前のカスタマイザーの変更が見えてしまう件で、公式がログインなしと明記しています。もうひとつは更新処理の途中で起きる競合です。こちらは公式のページに権限の記載がなく、Patchstack がアカウント不要と評価しています。

更新のあいだ、展開途中のWordPressがWebから見える場所にあった

WordPress は本体やプラグインを更新するとき、ダウンロードした zip ファイルを wp-content/upgrade/ の中へ展開してから入れ替えます。WordPress 7.1.4 の修正コミットには、このフォルダが Web から配信される場所だ、とコメントがあります。これまで展開先のフォルダ名はパッケージの名前のままで、展開前の掃除では、フォルダの中身を一覧表示させないための index.php まで消していました。

WordPress 7.1.4 は、ここを3か所直しています。展開先のフォルダ名に16文字のランダムな文字列を付けること、index.php を消さずに、無ければ作ること、本体の更新で、作業フォルダにある wp-config.php（データベースの接続情報を書く設定ファイル）をコピーしないことです。更新中の数秒のあいだに、展開途中の WordPress を外から探し当てられないようにした修正です。

Patchstack は、この件にはアカウントも利用者の操作も要らないとしながら、更新が走っている数秒の間に外からの要求を当てる必要があるため、実際に悪用するのは難しいと評価しています。一方で、この時間帯は自動更新を含め、更新のたびに生じる、とも書いています。

公開前のカスタマイザーの変更が、ログインなしで見えていた

カスタマイザーは、外観の設定を公開前にプレビューしながら変えられる画面です。WordPress 7.1.4 の説明ページは、まだ公開していないカスタマイザーの変更が、ログインしていない訪問者に見えてしまう問題を直したと書いています。Patchstack によると、見えたのはプレビューの表示で、設定値そのものはそれぞれの権限で守られていました。WordPress 7.1.4 からは、このプレビューにカスタマイズの権限が要ります。

自動更新のサイトも、WordPress 7.1.4まで上がったかを確かめる

いまの WordPress のバージョンは、管理画面の「ダッシュボード」→「更新」で分かります。告知によると、自動バックグラウンド更新が有効なサイトでは、WordPress 7.1.4 への更新が自動で始まります。始まったことと終わったことは別なので、7.1 系のサイトなら、同じ画面で WordPress 7.1.4 になっているかを見ます。

7.0 系や 6.9 系などに留めているサイトは、上の一覧の修正バージョン（WordPress 7.0.8、6.9.11 など）になっているかを見ます。ただ、古い系統に留めると、プラグインの更新が先に止まることもあります。たとえば Contact Form 7 6.2 は WordPress 7.1 以上が必須なので、WordPress 7.0.8 のままではフォームのプラグインを Contact Form 7 6.2 へ上げられません（Contact Form 7 6.2 の記事）。WordPress 4.6 以前のサイトには今回の修正が来ないので、系統を上げる計画が別に要ります。

更新処理の件について、Patchstack はもう一つ、Web サーバーの設定で wp-content/upgrade/ へのアクセスを拒否し、一覧表示されないことを確かめるよう勧めています。展開途中の WordPress はサイトのプラグインを読み込まないので、PHP で動くセキュリティプラグインでは防げない、という理由です。サーバーの設定を触れる場合の追加の手当てで、WordPress の公式告知が求めている作業ではありません。

更新のあとは、公開ページの表示、管理画面へのログイン、お問い合わせフォームの送信を一度見ておくと、更新で何かが動かなくなっていないかが分かります。

参考にした一次情報

• WordPress 7.1.4 告知（2026年10月28日）
• Version 7.1.4（内訳と系統ごとの修正バージョン）
• WordPress のリリース一覧
• 更新処理の作業フォルダの扱いを直したコミット（7.1 系）
• Patchstack による WordPress 7.1.4 の解説（各件の条件と評価）

---