WordPress公式は2026年10月28日(現地時間)、セキュリティリリース「WordPress 7.1.4」を公開しました。公式の告知では、アップグレード処理の弱点に起因するリモートコード実行(RCE)の可能性を含む、複数の脆弱性が修正されたとされています。公式は「ただちに更新することを推奨」しています。
修正された主な内容
公式の投稿には、発見者の名前とともに12項目が並んでいます。CVE番号や深刻度の評価は、この投稿では触れられていません。
- アップグレード処理の弱点により、更新作業中にリモートコード実行につながり得る問題
- 細工したブロックのマークアップによる蓄積型XSS
- 個人データの削除リクエスト、および特殊なユーザーログイン名に起因する蓄積型XSS
- Interactivity APIでの複数の蓄積型XSSと、蓄積型のサービス拒否(DoS)
- カスタマイザーの選択的リフレッシュ、カテゴリーブロック、プレイリスト・画像ブロック、コメントのページ送りブロックでの蓄積型XSS
- 未公開のカスタマイザー変更セットが、未認証のユーザーに見えてしまう問題
- 投稿の編集権限がない特権ユーザーに、その投稿に付いた「ノート」が読めてしまう問題
このほか、eMudhraの証明書失効に伴い、同梱のルート証明書も更新されています(セキュリティ修正の12件とは別の扱いです)。
運営者が確認すること
- ダッシュボードの「更新」画面から7.1.4へ更新する。自動バックグラウンド更新が有効なサイトでは、自動的に始まります。
- 修正は、4.7まで遡る対象ブランチにバックポート中と案内されています。古い系列を使っている場合も、各系列の更新が出ていないか確認してください。
- 公式は、サポート対象は最新バージョンのみとしています。古い版のまま運用しているサイトは、この機会に最新版への移行を検討したいところです。
直前の動きとしては、「WordPress 7.1.3」が公開、7件の脆弱性と4件の不具合を修正も取り上げています。短い間隔でセキュリティ更新が続いているため、更新の確認を習慣にしておくと安心です。
なお、同じ発表の中で、次期メジャー版「WordPress 7.2」は2026年12月8日の公開が予定され、ベータ3も出たと案内されています。
