WORDPRESS SECURITY / 2026年10月
WordPress本体の更新、
後回しにしていませんか？
2026年7月以降、WordPress本体のセキュリティ修正が短い間隔で公開されています。「そのうち更新しよう」がリスクになる前に、確認しておきたいことをまとめました。
WordPressを利用していると、管理画面に「新しいバージョンがあります」という更新のお知らせが表示されることがあります。
機能追加や不具合修正によるアップデートもありますが、最近特に気になるのが、WordPress本体の脆弱性を修正するセキュリティアップデートが続いていることです。
2026年7月以降、WordPress本体では重要度の高い脆弱性が複数公表され、短い間隔で修正版が公開されています。WordPressを長期間更新していない場合は、現在のバージョンを一度確認してみることをおすすめします。
WordPressは「更新しなければ必ず感染する」というものではありません。それでも、更新をため込まないこと・バックアップを取ること・更新後に確認することが、安全な運用の基本です。
2026年6月までの数年間は比較的落ち着いていた
もちろん、WordPressに脆弱性が見つかること自体は珍しいことではありません。世界中で非常に多く利用されているソフトウェアなので、日々セキュリティ調査が行われ、新しい問題が発見されれば修正版が公開されています。
ただし、WordPress本体に限って重要度の高い脆弱性に注目すると、2023〜2025年は比較的少ない状態が続いていました。例えば、Wordfenceの脆弱性データベースで2025年に公表されたWordPress本体の問題を見ると、Medium（中）に分類されるものが中心です。
※深刻度は評価機関や評価方式によって異なり、データベースへの追加・再評価もあります。プラグインやテーマの脆弱性を含めた件数とは分けて考える必要があります。
ところが、2026年7月ごろから様子が変わってきました。
2026年7月以降、セキュリティアップデートが続く
2026年7月17日に公開されたWordPress 7.0.2では、公式から「Critical（重大）」を含むセキュリティ修正が案内されました。REST APIとSQLインジェクションに関連し、一定の条件で遠隔コード実行（RCE）につながる問題が含まれています。
重要度が高かったため、WordPress.org側では影響を受けるサイトに対して、自動更新の仕組みを利用した強制的な更新も実施しました。
※以下はWordPress公式でセキュリティ更新として案内された主なリリースです。回数は2026年7月17日〜10月6日の6つの更新を数えたもので、脆弱性の件数ではありません。
深刻なセキュリティ問題を修正。影響対象には強制自動更新も実施。
ログイン画面に関連するXSSなどのセキュリティ問題を修正。
特定環境での悪意あるファイルアップロードによる遠隔コード実行を修正。
11件のセキュリティ修正に加え、本体・ブロックエディターの不具合を修正。
特定条件で未認証から遠隔コード実行につながる可能性がある問題を修正。
7件のセキュリティ修正と4件の不具合修正を含むリリース。
7月から10月にかけて、重要なセキュリティ修正が続いていることが分かります。古いバージョンのまま使い続けているサイトでは、自分の環境が影響を受けるかを確認することが大切です。
7月以降に確認されたHigh以上の主な脆弱性
WordPress公式のリリース情報と、GitHub Security AdvisoryでHigh（高）・Critical（重大）に評価されている主な問題を紹介します。
REST API・SQLインジェクションに関連する遠隔コード実行（RCE）
REST APIの処理とSQLインジェクションを組み合わせ、一定の条件で外部からサーバー上のコードを実行される可能性がある深刻な問題です。WordPress 7.0.2で修正されました。
技術情報・影響バージョンを確認する →WordPressログイン画面のXSS
ログイン前に影響を受ける可能性がある反射型XSSです。条件によってはPHPコードの実行につながる可能性もあると案内されています。WordPress 7.0.3で修正されました。
技術情報・影響バージョンを確認する →悪意のあるファイルアップロードによる遠隔コード実行（RCE）
ImagickやGhostscriptを使用するサイトなど、特定の条件下で投稿者以上の権限を持つユーザーによるコード実行が可能になる問題です。WordPress 7.0.4で修正されました。
技術情報・影響バージョンを確認する →wpautop()を利用したStored XSS
コメントなどを経由し、不正なスクリプトが保存される可能性がある問題です。コメント承認などの条件が関係し、WordPress 7.1.1で修正されています。
技術情報・影響バージョンを確認する →ページテンプレート処理を利用したPath Traversal・条件付きRCE
ログインしていない外部のユーザーでも、テーマの構造・サーバー設定・PHPファイルの存在などの条件がそろうと、意図しないPHPファイルを読み込ませ、コード実行につながる可能性があります。WordPress 7.1.2で修正されました。
技術情報・影響バージョンを確認する →注意：ここで紹介した脆弱性が、すべてのWordPressサイトで直ちに悪用できるわけではありません。攻撃の成立条件や影響するバージョンはそれぞれ異なります。また、10月6日の7.1.3には別のセキュリティ修正も含まれています。「自分のサイトには関係ない」と決めつけず、現在の更新状況を確認しましょう。
実際に、更新が難しくなったWordPressも多数
当方でも最近、長期間運用されてきたWordPressサイトについて、復旧やセキュリティ対応を行う機会がありました。
Google Search Consoleやアナリティクスで不自然な数値が見つかり、身に覚えのないページが数万件も生成されている状態を確認。調査の結果、WordPressサイトがマルウェアに感染していることが分かりました。
こうした事象の原因はサイトごとに異なるため、必ずしもWordPress本体の未更新だけが感染原因とは限りません。ただ、更新を長く放置したサイトでは、調査・復旧に必要な作業が増えることがあります。
長い間使われているWordPressでは、本体だけを更新すれば終わりとは限りません。PHPのバージョンが古かったり、利用中のテーマやプラグインが現在のWordPressに対応していなかったりすると、次のような問題も発生します。
- 「WordPressを更新したらエラーが出た」
- 「PHPを新しくしたらサイトが表示されなくなった」
長期間更新を止めるほど、WordPress本体、PHP、テーマ、プラグインの世代差が大きくなり、まとめて更新することが難しくなります。
場合によっては管理画面から「更新」ボタンを押すだけでは済まず、不審なファイルがないか、データベースまで改ざんされていないかなど、状況を一つずつ確認しながら復旧する必要があります。
セキュリティ上の問題を放置した結果、改ざんや不正なファイルの設置によって、サイトが正常に表示できなくなる場合もあります。
WordPressとPHPは、できるだけ新しい状態を保つ
WordPressを利用している場合は、セキュリティアップデートを長く放置せず、できるだけ早く適用しましょう。また、サーバーで使用しているPHPのバージョンも確認しておきたいところです。
PHPを新しくしたからといってWordPressの脆弱性が解決するわけではありませんが、サポートが終了したPHPを使い続けると、新しいWordPressやプラグインへの更新が難しくなる場合もあります。
WordPress本体
セキュリティリリースを確認し、重要な更新は早めに適用します。
PHP・サーバー環境
サポート状況と対応バージョンを調べ、計画的に更新します。
テーマ・プラグイン
更新をためず、使っていないものは整理して管理対象を減らします。
バックアップ・動作確認
更新前のバックアップと、更新後の主要ページ・フォームの確認をセットにします。
WordPress、PHP、テーマ、プラグインを極端に古い状態にせず、日頃から少しずつ更新していくことが大切です。
できれば自動更新をおすすめ。それでも安心しきれない
毎回WordPressのセキュリティ情報を確認するのは大変です。特別な理由がなければ、WordPress本体の自動更新を利用するのも一つの方法です。重要な脆弱性が発見された際に、修正版をできるだけ早く適用できるのは大きなメリットです。
……というわけではありません。
自動更新が動作する前に攻撃を受ける可能性もありますし、更新によって表示や機能に不具合が出る場合もあります。更新後は、簡単でも構わないのでサイトの動作を確認しておきましょう。
- トップページが正常に表示される
- 下層ページも正しく表示される
- お問い合わせフォームが送信できる
- 管理画面にエラーが出ていない
- 必要に応じてバックアップから戻せる
万一更新によって問題が発生した場合に備え、ファイルとデータベースのバックアップを取得し、復元できる状態にしておくことも重要です。
「更新していないかも」と思ったら、一度確認を
WordPressは、きちんと更新・管理していけば長く利用できる便利なCMSです。一方、Webサイトを公開したあと、何年も更新せずに使い続けることはおすすめできません。
特に2026年7月以降は、WordPress本体の重要なセキュリティ修正が続いています。管理画面に更新のお知らせが表示されていたら、内容と互換性を確認したうえで、できるだけ早めにアップデートしておきましょう。
更新をため込まない。更新前にバックアップ。更新後に動作を確認する。
この基本を続けることが、WordPressを安全に使い続けるための大切な保守になります。
WordPressの更新・保守でお困りですか？
長く更新していないサイトや、PHPの更新でエラーが出るサイトも、現在の状態を確認しながら対応をご案内します。鹿児島発のTM WebWorksでは、WordPressの保守・トラブル対応を承っています。
TM WebWorksへ相談する →参考情報・出典
- WordPress公式：7.0.2 セキュリティリリース（2026年7月17日）
- WordPress公式：7.0.3 セキュリティリリース（8月6日）
- WordPress公式：7.0.4 セキュリティリリース（8月12日）
- WordPress公式：7.1.1 メンテナンス・セキュリティリリース（9月17日）
- WordPress公式：7.1.2 セキュリティリリース（9月22日）
- WordPress公式：7.1.3 メンテナンス・セキュリティリリース（10月6日）
- WordPress公式：GitHub Security Advisories
- Wordfence：WordPress Core Vulnerabilities
記事内のセキュリティ情報は2026年10月18日時点の公開資料をもとに整理しています。影響範囲や最新バージョンは各公式情報で確認してください。