WordPress 7.1.4のセキュリティ更新で何を確認する？サイト運営者のチェックリスト
2026年10月28日に公開された WordPress 7.1.4 は、セキュリティリリースです。WordPressでサイトを出している運営者と、顧客サイトの更新を預かっている方が、コアの更新・版番号・更新中の露出・バックアップを確認するための記事です。
- 公開日：
- 最終更新：
- 読了：
- 約7分
自動更新がオンなら、もう直っている？
先に結論を3行で言うね。始まったことと、終わったことは別だよ。
本体を WordPress 7.1.4、または利用中ブランチのセキュリティリリースへ更新する。
更新後に、管理画面の「更新」で版番号を確認する。
更新の前に、ファイルとデータベースのバックアップを取る。
テーマやプラグインだけの更新、ホスティングの「メンテナンス終了」という表示だけでは、今回のコアのセキュリティリリースを確認したことにはなりません。確認に使うのは、公式の更新画面と、手元のバックアップです。
公式が公表したこと
WordPressは2026年10月28日、バージョン 7.1.4 の案内を公開しました。セキュリティリリースのため、サイトを直ちに更新するよう勧めています。入手は、管理画面の「ダッシュボード → 更新」か、公式のリリース一覧です。
同じ日の公式ニュースも、セキュリティリリースなので直ちに更新するよう書いています。自動バックグラウンド更新に対応したサイトでは、更新処理が自動で始まると説明しています。ニュースは、次のメジャーリリース 7.2 を12月8日予定の短周期リリースとも書いています。今回の更新を、その日まで待たないでください。7.2 Beta 3 にも該当する修正が入っている、とも書いていますが、ベータを本番サイトの代替にはしません。
不具合の説明は、公式の文言に合わせます。バージョン案内は、Umut Bayram 氏の報告として「コア更新中の競合状態が、遠隔コード実行につながり得る」と書いています。ニュースの文言は "A weakness in the WordPress upgrade process which can lead to remote code execution during the upgrade window" です。更新処理の弱さが、アップグレードの時間窓のあいだに遠隔コード実行につながり得る、という意味です。
同じリリースには、保存型クロスサイトスクリプティングなどの別の修正も含まれます。バージョン案内は、修正の対象を22件の脆弱性と数えています。件数の内訳と報告者は公式の一覧を見てください。この記事の主題は、のちに悪用が確認された、更新の時間窓の問題です。
悪用が確認された件
公式のバージョン案内とニュースには、CVE番号は書かれていません。CVE-2026-119977 は、CISAが Known Exploited Vulnerabilities（KEV）カタログでこの問題に使っている識別子です。
CISAは2026年11月3日、実際に悪用されている証拠に基づいて、このCVEをカタログへ追加したと告知しました。カタログの説明は、WordPressコアの Time-of-check Time-of-use（TOCTOU）競合状態で、認証されていない攻撃者がアップグレードの時間窓にサーバー上でコードを実行し得る、というものです。理由として、フルパッケージのコア更新で使われる、予測しやすくWebから到達できる一時的な配置パスを挙げています。関連する弱点の分類は CWE-367 です。
カタログの追加日は2026年11月3日、米連邦民生機関向けの対応期限は2026年11月6日です。BOD 26-04 に基づくフォレンジック確認は「要」、ランサムウェアキャンペーンでの使用は Unknown とされています。BODの義務づけは米連邦民生機関向けです。CISAは、それ以外の組織にも、KEVに載った脆弱性の優先的な修正を勧めています。この記事の時点では、カタログ上の期限の日付を過ぎています。未更新のサイトは、その期限の内外にかかわらず、WordPress公式が求める直ちにの更新を確認してください。
CISAが参照している Wordfence のURLは、WordPress Core 4.7.0 から 7.1.3 の、認証なしの更新時間窓におけるリモートコード実行を指しています。版の範囲は公式のバージョン案内にはCVE番号つきでは書かれていないので、下のブランチ一覧と別に見てください。BleepingComputerは、CISAが実環境での悪用としてこの件を扱ったと報じ、報告者を Picus Security の Umut Bayram 氏と伝えています。所属はWordPress公式のページには書かれていません。不具合の中身は、公式の「更新の時間窓」と、CISAカタログの説明以上には広げません。到達の手順や一時パスの作り方は書きません。
更新している最中が、その時間窓？
公式が言う窓は、更新のあいだ。始めたら完了まで見届ける。届き方はこの記事には書かないよ。
ブランチの修正版
バージョン案内は、影響のある古いブランチにも修正を提供し、各ブランチのセキュリティリリースを「公開された」と列挙しています。同時に、積極的にサポートされるのは最新版だけ、とも書いています。すぐ 7.1.4 へ移せない場合は、利用中ブランチの案内された版を確認し、移す計画は別に持ってください。
公式ニュース（2026年10月29日更新）は、バックポートは準備でき次第公開される、と書いています。バージョン案内の列挙とは時点が違います。作業時は、管理画面に出ている版と、バージョン案内の最新の記述を照合してください。次の表は、2026年11月10日に確認したバージョン案内の列挙です。「22件のうち何件か」は、そのブランチが今回の修正群の何件に該当するか、という公式の数です。CVE-2026-119977 一件と、この件数を同じものとして読まないでください。
| ブランチ | 公式が示す影響 | 案内された版 |
|---|---|---|
| WordPress 7.0 | 22件すべて | 7.0.8 |
| WordPress 6.9 | 22件すべて | 6.9.11 |
| WordPress 6.8 | 22件のうち20件 | 6.8.12 |
| WordPress 6.7 | 22件のうち20件 | 6.7.11 |
| WordPress 6.6 | 22件のうち19件 | 6.6.11 |
| WordPress 6.5 | 22件のうち17件 | 6.5.14 |
| WordPress 6.4 | 22件のうち17件 | 6.4.14 |
| WordPress 6.3 | 22件のうち9件 | 6.3.14 |
| WordPress 6.2 | 22件のうち9件 | 6.2.15 |
| WordPress 6.1 | 22件のうち9件 | 6.1.16 |
| WordPress 6.0 | 22件のうち9件 | 6.0.18 |
| WordPress 5.9 | 22件のうち9件 | 5.9.20 |
| WordPress 5.8 | 22件のうち6件 | 5.8.19 |
| WordPress 5.7 | 22件のうち6件 | 5.7.21 |
| WordPress 5.6 | 22件のうち6件 | 5.6.23 |
| WordPress 5.5 | 22件のうち6件 | 5.5.24 |
| WordPress 5.4 | 22件のうち6件 | 5.4.25 |
| WordPress 5.3 | 22件のうち6件 | 5.3.27 |
| WordPress 5.2 | 22件のうち6件 | 5.2.30 |
| WordPress 5.1 | 22件のうち6件 | 5.1.28 |
| WordPress 5.0 | 22件のうち6件 | 5.0.31 |
| WordPress 4.9 | 22件のうち4件 | 4.9.35 |
| WordPress 4.8 | 22件のうち2件 | 4.8.34 |
| WordPress 4.7 | 22件のうち2件 | 4.7.39 |
いまの系列の修正版は 7.1.4 です。表は、それより古いブランチです。バージョン案内は、WordPress 4.6 以前はセキュリティ更新を受け取らない、とも書いています。影響がないという意味ではありません。その世代のまま公開を続ける場合は、サポートされる版への移行を検討してください。
7.1.4以外は、全部だめ？
ブランチのセキュリティリリースが案内されているよ。積極サポートは最新版だけ、という注意も一緒に見よう。
運営者のチェックリスト
ここからは、公開サイトを止めずに確認するための順番です。個別のサーバー設定をコピペする手順は書きません。
- 版番号を見る。管理画面の「ダッシュボード → 更新」で、7.1.4、または表にある利用中ブランチのセキュリティリリースかを確認します。複数サイトがある場合は、サイトごとに見ます。別の環境の番号を、公開中のサイトの版と同一視しないでください。
- 自動更新は、開始と完了を分ける。公式は、自動バックグラウンド更新に対応したサイトでは更新が自動で始まると説明しています。始まったあとに、同じ「更新」画面で完了後の版を見ます。ホスティングの作業時間だけが終わった表示は、このリリースが自分のサイトへ入った回答とは別に確認してください。
- 更新の時間窓を、途中で放置しない。CISAは、フルパッケージのコア更新で使う一時的な配置先が、予測しやすくWebから到達できるため、認証されていない攻撃者がその時間窓にコードを実行し得ると説明しています。更新を始めたら完了まで見届け、更新用の画面を作業後に開いたまま共有しないでください。届かせる手順や、一時ファイルのパスは書きません。
- 更新の前にバックアップを取る。ファイルとデータベースを保存し、戻せる場所・担当者・手順を確認します。可能なら、本番の前に検証用のコピーで更新を見ます。更新後は、表示、ログイン、フォーム送信、購入や予約など、そのサイトで欠かせない操作を点検します。不具合で古い版へ戻す判断には、脆弱な版へ戻るリスクも含めてください。
更新済みであることは、過去に侵害がなかった証明にはなりません。CISAは米連邦民生機関に、パッチ前の侵害確認を求めています。一般のサイトでは、見慣れない管理ユーザーやファイルが増えていないかを、保守担当者と分けて記録してください。これは編集部の運用上の整理で、調査手順の代わりではありません。
PHPの更新とは別
前のPHPの件と、同じボタンで直る？
実行環境は別。WordPressの更新は、PHP本体の修正の代わりにならないよ。
PHP本体の CVE-2026-109618 と CVE-2026-109619 は、すでにPHPの緊急更新チェックリストで扱いました。あれは実行環境側の確認です。今回の 7.1.4 は WordPress コアのセキュリティリリースで、PHPの修正を兼ねません。コアを更新したあとも、動いているPHPの提供元対応は別に見てください。
よくある質問
自動更新がオンなら、何もしなくてよいですか？
公式は、対応しているサイトでは更新が自動で始まると説明しています。開始と完了は別です。管理画面の「更新」で、7.1.4 か、利用中ブランチのセキュリティリリースになっているかを確認してください。
7.1へ上げられず、古いブランチのままです。その系列の修正版で足りますか？
公式は、影響のある古いブランチにも修正を提供し、同時に、積極的にサポートされるのは最新版だけと書いています。すぐ移せない場合は、バージョン案内に載ったそのブランチの版を確認してください。4.6以前は、セキュリティ更新を受け取らないと公式に書かれています。
更新したあとに、侵害はなかったと言えますか？
言えません。更新は、案内された修正を入れる作業です。CISAがカタログへ追加した根拠は、実際に悪用されている証拠です。過去の侵害の有無は、更新済みという事実とは別に確認します。この記事は、その調査の手順は案内しません。
公式資料とこの記事の範囲
- WordPress公式：Version 7.1.4（2026年10月28日。不具合の説明、22件という数え方、ブランチのセキュリティリリース）
- WordPress公式ニュース：WordPress 7.1.4（2026年10月28日公開、10月29日更新。直ちに更新、自動更新、アップグレードの時間窓、バックポートは準備でき次第）
- CISA：2026年11月3日のKEV追加告知
- CISA：Known Exploited Vulnerabilities Catalog（CVE-2026-119977。追加日 2026-11-03、期限 2026-11-06）
- CISAが参照する Wordfence の脅威情報（URLは 4.7.0–7.1.3 の更新時間窓の問題を指す。手順は転載しない）
- BleepingComputer：CISAが悪用を旗印にしたという報道（二次情報。不具合の説明は公式とCISAを優先）
情報確認：2026年11月10日。公式情報は更新されるため、作業時には WordPress 公式の最新案内も確認してください。
この記事は一般的なサイト運営のための情報整理です。WorkFrame Hub 自身の WordPress の版、侵害の有無、対策完了を宣言するものではありません。個別サイトの状態は、提供元と保守担当者に確認してください。