ニュースの概要
WordPress.org は2026年10月6日、「WordPress 7.1.3 Maintenance and Security Release」を公開しました。7.1系の保守・セキュリティリリースで、公式発表によるとバグ修正は4件、セキュリティ修正は7件です。9月22日に配信された7.1.2に続く更新で、7.1.1（9月17日）から数えると約3週間で3回目の配信になります。
自動バックグラウンド更新に対応しているサイトでは、更新が自動的に始まると案内されています。テーマやプラグインを自作・運用している開発者は、自分の環境が更新済みかを早めに確認しておきたいところです。
何が変わるのか
公式発表が挙げる7件のセキュリティ修正は次のとおりです。報告者は公式発表をもとに要約しています（公式では個人名と所属が併記されています）。
- 管理画面のコメント一覧で、承認待ちコメントを経由して起こる保存型XSS（Trail of Bits）
WP_Http::make_absolute_url()のサービス拒否（DoS）（Anthropic）- WXRエクスポート機能の二次的なSQLインジェクション（Anthropic による報告）
- 投稿者（Author）ロールのユーザーが、本来の権限を超えて投稿を先頭固定（sticky）にできてしまう弱点（Anthropic による報告）
- 非公開・未公開の投稿に付いたコメントが、未認証のユーザーに見えてしまう問題（Patchstack）
- Imgur埋め込みのXSS（Liu、Yang、Zhong の各氏による報告）
{status}_{type}フックに渡される引数を偽造できることによるアクション名の衝突（WordPressセキュリティチーム）
公式発表では、これらを深刻度別に整理した表現は確認できていないため、本記事では「どれが最も危険か」という順位づけはしません。公式は、ただちに更新することを推奨しています。
また公式発表によると、セキュリティ修正は、必要に応じてバージョン4.7まで遡ってバックポートされる予定で、作業は進行中、準備ができたものから配信されます。ただし、積極的にサポートされているのは最新バージョンのみだと明記されています。古い系統を使い続けている場合、修正が届くかどうかは系統ごとに異なるため、7.1系へ上げる計画を持つのが現実的です。
読者への影響
影響が大きいのは、次のような場面を持つサイトです。
- 複数の執筆者（投稿者ロール）がいるサイト。権限昇格の修正が関係します。
- コメント機能を使っているサイト。承認待ちコメント経由のXSSと、非公開投稿のコメント開示の修正が関係します。
- WXRエクスポート（ツール→エクスポート）を使う運用。SQLインジェクションの修正が関係します。
- 外部リンクのOEmbed、とくにImgurの埋め込みを使う記事があるサイト。
WP_HttpでURLを組み立てるコードや、ステータスと種別を組み合わせたカスタムフックを書いているテーマ・プラグイン。
テーマやプラグインを自作している場合、コア側の修正で自作コードが壊れることは通常ありませんが、更新後に自分の画面で動作確認をしておくと安心です。とくに make_absolute_url の呼び出しや、フック名を文字列連結で組み立てているコードは、動作に差が出ていないかを見ておきましょう。
確認すること
- 管理画面の「ダッシュボード→更新」で、WordPressのバージョンが7.1.3になっているかを確認する。
- 自動更新が止まっているサイト（手動更新の設定、ホスティング側の制限など）では、手動で更新する。
- 更新前にバックアップを取る。手順は、当サイトのバックアップと復元の基本が参考になります。
- 更新の流れはWordPressの更新のしかた、全体の守りはセキュリティ対策の基本にまとめています。
- 更新後、投稿の作成、コメント承認、テーマの主要ページ、自作プラグインの動作を一通り確認する。
本番に反映する前にステージング環境で試せるなら、先に試すのが確実です。ただしセキュリティ修正を含む更新は、確認に時間をかけすぎず、早めに適用する判断が一般的です。
筆者の見解
私見では、今回の注目点は修正の件数そのものよりも、7.1.1から7.1.3まで約3週間で3回の保守リリースが続いている点です。更新の頻度が上がると、「週に何度も上げるのは面倒」と感じて自動更新を止めたくなりがちですが、公式が自動更新を前提に案内していることを踏まえると、止めるよりも「更新後の確認を軽くする仕組み」を作るほうが現実的だと考えます。
具体的には、バックアップを自動化し、更新後に見るページを3〜5個に決めておくだけでも、確認の負担はかなり減ります。また、報告者に企業・個人・公式チームなど外部の名前が並ぶ構成からは、外部の目による検証が回っている様子がうかがえますが、それは公式発表から読み取れる範囲の話で、深刻度や悪用の有無までは判断できません。
自作の開発者としては、権限や出力のエスケープ、フック名の扱いといった基本を自分のコードでも見直す機会にしたいところです。コア側の修正は、同じ種類のミスが自作コードにもないかを点検するヒントになります。
出典（一次情報）
- WordPress 7.1.3 Maintenance and Security Release（WordPress.org News）
- WordPress.org News（7.1.1・7.1.2 の配信日の確認）
2026年10月7日時点の情報です。
コメント