WordPress 7.1.4で22件の脆弱性を修正｜対象バージョンと更新方法
直らないときは、無料でご相談いただけます（直らなければ料金はいただきません）。
結論：2026年10月28日に、WordPress 7.1.4 が公開されました（日本語のお知らせは29日）。22件の脆弱性を直すセキュリティの更新で、公式はすぐに更新するよう勧めています。
お使いのWordPressが 7.1.4 以降なら、修正は含まれています。7.1・7.1.1・7.1.2・7.1.3 をお使いの場合は、更新が必要です。古い系統を使っている場合は、7.0系なら7.0.8、6.9系なら6.9.11 のように、系統ごとの修正版が出ています（対象と修正版の一覧）。
目次
WordPress 7.1.4 で直された脆弱性
WordPress本体の脆弱性なので、プラグインやテーマの数に関係なく、修正前の版のサイトが当てはまります。公式の案内に出ている主なものは、次のとおりです。
| 内容 | どんな問題か |
|---|---|
| 保存型のクロスサイトスクリプティング（XSS）（件数としてはいちばん多い） | ブロック・カテゴリーのブロック・コメントのページ送りのブロック・カスタマイザーなどに、悪いスクリプトを仕込めてしまう問題です。多くは、寄稿者以上の権限でログインできるユーザーが仕込める問題とされています |
| 更新の途中の弱点 | WordPressの更新の途中のわずかな間に、外からプログラムを動かされるおそれがある問題（リモートコード実行） |
| 公開前の変更が見えてしまう | カスタマイザーで公開前の変更が、ログインしていない人に見えてしまう問題 |
| 権限の問題 | コメントを管理できる独自の権限のユーザーが、編集できない投稿に付いた「ノート」（編集画面で付けるメモ）を読んだり、編集・削除したりできる問題 |
| ほか | Interactivity API（ブロックの動きの仕組み）のサービス停止の問題、同梱の証明書の更新（認証局 eMudhra の失効による）など |
ほかの人にも寄稿者・投稿者などの権限を付けているサイト（複数人で書くブログなど）は、特に早めの更新をおすすめします。ご自分だけで管理しているサイトでも、ログインしていない人にかかわる問題も含まれているため、更新しておきましょう。
対象と修正版の一覧
公式は、古い系統にも修正版を出しています。お使いの版の番号を、次の表の「修正版」と照らし合わせます。その番号以降であれば、修正が含まれています。
| お使いの系統 | 修正版 | 当てはまる脆弱性（22件のうち） |
|---|---|---|
| 7.1系（7.1〜7.1.3） | 7.1.4 以降 | 22件 |
| 7.0系 | 7.0.8 以降 | 22件 |
| 6.9系 | 6.9.11 以降 | 22件 |
| 6.8系 | 6.8.12 以降 | 20件 |
| 6.7系 | 6.7.11 以降 | 20件 |
| 6.6系 | 6.6.11 以降 | 19件 |
| 6.5系 | 6.5.14 以降 | 17件 |
| 6.4系 | 6.4.14 以降 | 17件 |
| 6.3系 | 6.3.14 以降 | 9件 |
| 6.2系 | 6.2.15 以降 | 9件 |
| 6.1系 | 6.1.16 以降 | 9件 |
| 6.0系 | 6.0.18 以降 | 9件 |
| 5.9系 | 5.9.20 以降 | 9件 |
| 5.8系 | 5.8.19 以降 | 6件 |
| 5.7系 | 5.7.21 以降 | 6件 |
| 5.6系 | 5.6.23 以降 | 6件 |
| 5.5系 | 5.5.24 以降 | 6件 |
| 5.4系 | 5.4.25 以降 | 6件 |
| 5.3系 | 5.3.27 以降 | 6件 |
| 5.2系 | 5.2.30 以降 | 6件 |
| 5.1系 | 5.1.28 以降 | 6件 |
| 5.0系 | 5.0.31 以降 | 6件 |
| 4.9系 | 4.9.35 以降 | 4件 |
| 4.8系 | 4.8.34 以降 | 2件 |
| 4.7系 | 4.7.39 以降 | 2件 |
| 4.6系以前 | 出ていません | ―（セキュリティの更新が終わっています。最新の版への更新を考えます） |
古い系統にも修正版が出ていますが、公式が積極的にサポートしているのは最新の版だけです。古い系統のままのサイトは、修正版に上げた後、最新の版への更新も考えておきましょう（WordPressを安全に更新する手順）。
自分のサイトのバージョンを確かめる方法
管理画面に入れる場合
- WordPressの管理画面にログインします。
- 左のメニューの「ダッシュボード」→「更新」を開きます。
- 「現在のバージョン」に出ている番号を、修正版の一覧と照らし合わせます。管理画面の右下にも「バージョン 7.x.x」と出ています。
管理画面に入れない場合
レンタルサーバーの「ファイルマネージャー」やFTPのソフトで、WordPressを入れたフォルダの中の wp-includes/version.php を開きます。中の次の行が、お使いの版です。
$wp_version = '7.1.4';ファイルは開いて見るだけにしておきましょう。書き換えて保存すると、サイトが表示されなくなることがあります。どちらの方法でも確かめるのが難しい場合は、管理を頼んでいる方や、WP-ingにご相談ください。
自動更新にしている場合
「更新」の画面に「このサイトは WordPress のメンテナンスリリースとセキュリティリリースのみで自動的に最新の状態に保たれます。」などと出ていれば、自動の更新が有効です。公式も、自動の更新に対応しているサイトでは、更新が自動で始まると案内しています。
ただ、自動の更新は、公開の当日に行われるとは限りません。このサイト（WP-ing）でも、自動で 7.1.4 になったのは公開から数日後でした。サーバーの設定やプラグインで自動の更新が止まっていることもあるため、上の方法で、実際の版を一度確かめておくと確実です。まだ修正版になっていなければ、自動の更新を待たずに、バックアップを確かめて更新しましょう。
更新の前と後に確かめること
- バックアップ：ファイルとデータベースの両方があり、戻し方が分かっているかを確かめます（バックアップの記事）。
- 更新する：「ダッシュボード」→「更新」で「バージョン 7.1.4 に更新」などのボタンを押します。ボタンの番号が、お使いの系統と違う（たとえば 6.9 系から 7.1 系へ上がる）場合は、大きな更新になるため、WordPressを安全に更新する手順もご覧ください。
- 番号を確かめる：更新の後、「現在のバージョン」が修正版以降になったかを見ます。
- 表示を確かめる：トップページ・よく使うページ・お問い合わせフォームが、いつもどおり動くかを見ます。
- ほかのサイトも確かめる：使っていない古いサイトやテスト用のサイトも当てはまります。同じように版を確かめます。
あわせて、「ユーザー」→「ユーザー一覧」に覚えのないユーザーがいないかも見ておくと安心です。気になる様子があるときは、改ざん・乗っ取りの記事の手順で確かめます。
更新できない・途中で止まるときは、更新できないときの記事や「別の更新が現在進行中です」の記事をご覧ください。
WordPressの更新のご相談
WP-ingでは、WordPressの更新や、更新の後に表示されないなどの不具合の修理を承っています。お使いの版が分からないときや、更新に迷うときは、お気軽にご相談ください。
よくある質問
プラグインをほとんど使っていなくても対象ですか？
はい。WordPress本体の脆弱性なので、プラグインの数に関係なく、修正前の版であれば当てはまります。
wp2shell や php2shell とは違うものですか？
違うものです。wp2shell は2026年7月に公表されたWordPress本体の脆弱性（wp2shellの記事）、php2shell は2026年10月に公表されたPHPの脆弱性です（php2shellの記事）。7.1.4 に更新しても、サーバーのPHPの脆弱性は別に手当てが要ります。