WordPress 7.1.1の公開からわずか5日後の2026年9月23日（日本時間）、公式より「WordPress 7.1.2」が緊急リリースされました。

「せっかくアップデートしたばかりなのに……」と戸惑う方も多いかもしれませんが、今回の更新は通常のメンテナンスではありません。サイトの乗っ取りに直結する極めて重大な脆弱性を修正するためのセキュリティリリースです。

本記事では、なぜこれほど短期間で配信されたのか、その具体的な内容と運営者が取るべき対応を解説します。

「超速」アップデートの真相：RCE（遠隔コード実行）への対策

今回の緊急配信の最大の理由は、認証なしで外部からサーバー上で不正なプログラムを実行されるリスク（RCE: リモートコード実行）が存在したためです。

* 脆弱性の詳細： CVE-2026-87902（GHSA-7hp8-65ch-5whp）

* 危険度： 極めて高（CVSS v4 基本値 9.2）

* 発生条件とリスク：

    攻撃者がログイン不要で、特定の条件下においてページテンプレートの解決処理を悪用。有効化しているテーマ外にある任意のローカルPHPファイルを読み込ませることが可能な状態でした。サーバー環境とアクティブテーマの条件が揃った場合、不正なコードを実行され、サイト改ざんやサーバー制御権の奪取に繋がる恐れがあります。

セキュリティ研究者のRobert Ressl氏からの報告を受け、WordPressセキュリティチームは被害拡散を防ぐため、即座に7.1.2のパッチを配信する判断を下しました。

「先週7.1.1にしたから大丈夫」が危険な理由

たとえ直前に7.1.1へ更新していても、速やかに7.1.2へ適用する必要があります。

セキュリティリリースが公表されると、世界中の攻撃者が修正コードを解析し、未修正のバージョン（7.1.1を含む）を狙った自動攻撃ボットを即座に稼働させるためです。「更新したばかりだから」と放置することは、攻撃対象として晒し続けることを意味し、非常に危険です。

 Webサイト管理者・ブロガーが今すぐやるべき対応

* Step 1：現在のバージョンを確認する

    管理画面の「ダッシュボード」＞「更新」から、現在のバージョンが「7.1.2」になっているか確認します。

* Step 2：7.1.2へアップデートする

    自動更新が完了していれば対応済みです。未更新の場合は、念のためバックアップを取得した上で「今すぐ更新」をクリックしてください。

* Step 3：動作確認を行う

    更新後、トップページや投稿画面、問い合わせフォームなどが正常に動作するか確認します。

まとめ：安全な運営のために即時更新を

今回の7.1.2への緊急アップデートは、サイトの遠隔操作を防ぐための不可欠な措置です。大切なサイトと読者の安全を守るため、今すぐダッシュボードを確認し、最新版への更新を完了させてください。

そう呟いて、管理画面に表示された「WordPress 7.0.4 が利用可能です」の文字を眺めているWeb担当者の方も多いはずです。前回のアップデートからわずか6日。あまりのフットワークの軽さに感謝する前に、ふと不安がよぎります。

「まさか、また重大な不具合？」
「うちのサイト、大丈夫なのか…？」
「こんなに頻繁にやってて、開発陣は燃え尽きてないのか？」

結論から言いましょう。この“異例の頻度”は、もはやアップデートではありません。「サイバー攻撃からの即時防衛」です。

本記事では、怒涛のアップデートラッシュ（7.0.3➡7.0.4、7.0.1➡7.0.2、6.9.2～6.9.4）の背景にある緊迫の技術的真相と、世界中の何億ものサイトを守る開発者コミュニティの壮絶な舞台裏を、重要度順にわかりやすく解説します。

【最優先警告】7.0.4で何が修正されたのか？

ー たった1枚の“画像”でサーバーが乗っ取られる

今回のアップデート（7.0.4）は、単なるバグ修正ではありません。
緊急度：最高レベルのセキュリティホール（脆弱性）を塞ぐための緊急セキュリティリリースです。

• 問題の脅威度：遠隔コード実行（RCE）脆弱性（CVE-2026-65640）
• 危険な仕組み：権限を持つユーザーが、一見「画像」に見える悪意のあるファイルをアップロードするだけで、サーバー上で好き放題にプログラムを実行できてしまうという致命的な欠陥。
• 標的となる環境：画像処理ライブラリ「Imagick」と「Ghostscript」を併用しているサーバー。
• 驚愕の事実：この欠陥はWordPress 4.7（約10年前のバージョン） にまで遡って存在していた“レガシーコード”に潜んでいました。

つまり、「写真を投稿したらサイトごと乗っ取られた」という事態もあり得たのです。発覚から修正・配信までのスピードが異例だったのは、それほどまでに「やばい」脆弱性だったからに他なりません。

なぜ今、怒涛のアップデートラッシュなのか？

ー 頻発する裏側にある“3つの時代の潮流”

なぜここにきて、7.0.2、7.0.4、そして過去バージョン（6.9系）まで同時多発的に更新されているのでしょうか。背景には、Webセキュリティの“パラダイムシフト”がありました。

① AIが“脆弱性の鉱脈”を掘り当てる時代に

かつては人間のセキュリティ研究者がコードを一行ずつ検証していました。しかし現在では、AIを搭載した自動解析ツールが24時間体制で過去10年分のコードを総浚いします。これまで見逃されていた“古い地層”の脆弱性が、まるで金脈のように一度に掘り起こされているのです。

② 攻撃が「見た目」から「根幹」へとエスカレート

昔は「画面が改ざんされる」程度のいたずら（XSSなど）が主流でした。しかし今や攻撃の最終目的はサーバーそのものの支配（RCE）です。サイトを乗っ取られれば、自社サイトが次の攻撃の踏み台（ボットネット）にされるリスクもあります。これでは「来月の定期更新まで待つ」という悠長な選択肢は存在しません。

③ 世界中の“ホワイトハッカー”との情報戦

WordPressはバグ報奨金プログラムを設け、世界中のホワイトハッカーから脆弱性情報を募集しています。しかし、公表と悪用（ゼロデイ攻撃）のタイムラグは年々縮まっており、報告を受けたら即座にリリースせざるを得ないのが実情です。

 【裏側を暴く】なぜ“わずか6日”で全世界に届けられるのか？

ー 知られざるWordPressコミュニティの“執念の構造”

「また更新か…」と感じるその裏で、WordPress開発チームはソフトウェア業界でも異例の驚異的な防衛ラインを張り巡らせています。

1. “過去の遺産”を見捨てないバックポートの執念
   WordPressは最新版（7.0.x）だけでなく、4.7系（約10年前） にまで修正プログラムを遡って適用（バックポート）しています。「古いバージョンはサポート終了」と切り捨てるのが一般的な中、何億もの古いサイトを守るために、全ブランチで並行して緊急版を作り続ける。これが6.9系など旧バージョンまで同時に数字が上がるカラクリです。
2. 「自動更新」を前提とした“超小規模リスクヘッジ”
   WordPressはセキュリティ更新をユーザーがボタンを押さずとも自動で適用する仕組みを持っています。もし大きな機能追加とセキュリティ修正をセットで行えば、自動更新時にサイトが真っ白になるリスク（互換性エラー）が高まります。そこで、「致命的な修正1件だけ」をピンポイントで配信することで、たとえ問題が起きても影響を最小限に食い止めているのです。フットワークの軽さは“サイトを壊さないための戦略”だったのです。
3. “公開前のサイレント修正”というタイムレース
   脆弱性が報告されてから、悪用するプログラム（PoC）がネットに流出するまでは、早ければ数時間です。WordPressセキュリティチームは、ハッカーが攻撃を完成させる前に世界中のサイトへ“予防接種”を打ち終えるという、過酷なタイムレースを毎日繰り広げています。

Web担当者が“今すぐ”取るべき3つの行動

頻繁な更新に振り回されず、「プロの防衛網」を最大限に活用するために、今日からできる対策はたったの3つです。

1. 【即実行】管理画面から「7.0.4」にアップデートする
   マイナーアップデートは互換性が非常に高いです。テーマやプラグインが壊れるリスクは極めて低いため、迷わず適用しましょう。
2. 【設定必須】「マイナーバージョン自動更新」を有効にする
   wp-config.phpで自動更新をオンにしておけば、今回のような6日間の緊急リリースも寝ている間に完了。もう「更新ボタンを押し忘れた」という不安から解放されます。
3. 【権限見直し】使っていない“投稿者”アカウントを削除する
   今回の脆弱性はログイン権限を悪用するものです。かつてブログを書いていたスタッフのアカウントや、不要な権限はこの機会に整理しましょう。それだけで防御力が格段に上がります。

まとめ

「頻繁な更新」は、WordPressが“放置されたオワコン”ではなく、世界で最も激しいサイバー戦線の最前線であり、開発陣が24時間体制で防衛ラインを張り続けている生きた証です。

面倒がらずに、この強力なセキュリティエコシステムにしっかりと乗り、安全なWebサイト運営を続けていきましょう。

「新着情報の表示といえばこれ」と長年愛されてきたWordPressプラグイン『What’s New Generator（以下WNG）』。しかし、開発停止から数年が経ち、公式ディレクトリからも非公開となった今、最新のWordPress環境で使い続けることには「いつエラーでサイトが止まるか分からない」という不安が常に付きまといます。

それでもなお、このプラグインが検索され続ける理由は、その「圧倒的なシンプルさ」にあります。本記事では、当サイトのアクセスデータから見える「WNG需要」を紐解きつつ、プラグインを一切使わずに、最新の標準機能だけで「あの使いやすい新着一覧」を完全に再現する方法を徹底解説します。

データが証明する「What’s New Generator」への根強い支持

　　当サイトのアクセス解析（Site Kit）を見ると、興味深い事実が浮かび上がります。最新のキーボードレビューやWindows 11のカスタマイズ記事と並んで、常に上位にランクインするのが「What’s New Generator」に関する検索クエリです。

Site Kitの検索クエリ

※画像には「what’s new generator 代替」などのキーワードが並んでいる。

Site KitのSite Kitの過去28日間のトップコンテンツ

そして、Site Kitの過去28日間のトップコンテンツの６位に！

2026年、使い続けるリスクと「賢い卒業」

長年愛用してきた道具を手放すのは惜しいものですが、以下のリスクを冷静に見極める必要があります。

標準機能への移行こそが正解：今のWordPress（ブロックエディタ）には、プラグインなしで同等の表示ができる「クエリループ」が備わっています。

PHP 8.x系^※での「沈黙のエラー」：画面は映っていても、裏側でエラーログが溜まり、サーバー負荷や突然のクラッシュを招く恐れがあります。

セキュリティの空白：更新が止まったプラグインは、脆弱性が見つかっても修正されません。

【実践】標準機能「クエリループ」で新着一覧を再現する

追加プラグインは不要です。以下のステップで土台を作ります。

ステップ1：ブロックの挿入

1. 編集画面で「/query」と入力し、**「クエリループ」**ブロックを挿入します。
2. 「空白から開始」を選び、最もシンプルな「タイトルと日付」等のパターンを選択します。

筆者からのアドバイス : 当ブログはテーマ『Cocoon』を使用しているため、本来は標準機能だけで右ペイン等に新着記事を掲載できます。しかし、固定ページや投稿本文の好きな場所に「What’s New Generator」のような極めてシンプルなリストを配置したい場合、この標準機能を使った方法が最も軽量で安全です。
※実際の操作画面キャプチャについては、後日さらに分かりやすく追記する予定です。

ステップ2：表示内容の整理（WNG風にする）

1. 右側のパネルで「テンプレートからクエリを継承」をオフにします。
2. 表示件数を「5件」などに設定します。
3. リスト表示（アウトライン）を使い、「ポストテンプレート」の中を以下の3つだけに整理し、「行（Row）」ブロックの中に横並びに配置します。
   1. 投稿日
   1. 投稿カテゴリー
   1. 投稿タイトル

ステップ3：【重要】安全のための「名前付け」

他のページのデザインを壊さないために、クエリループブロックの「高度な設定」＞「追加 CSS クラス」に wng-style と入力してください。

デザインを整える：こだわりのレスポンシブCSS

以下のコードを「外観」＞「カスタマイズ」＞「追加CSS」に貼り付けてください。PCではWNG風の1行、スマホでは読みやすさを優先したデザインに自動で切り替わります。

/* wng-style 専用：PC・スマホ両対応のデザイン */
/*  特定のクラス（wng-style）を使っているため、公開中の他のページには影響しません。*/
/* WordPressの標準的なクラス名（.wp-block-post-template など）をターゲットにすると、サイト内のすべての「クエリループ」ブロックのデザインが、今回設定した「一行リスト形式」に変わります。もし他の場所でクエリループを使っていたら： 例えば、トップページで「おしゃれなカード型の記事一覧」をクエリループで作っていた場合、それも強制的に「WNG風のシンプルな一行リスト」に書き換えられてしまいます。*/

/* 1. リスト全体の基本設定 */
.wng-style .wp-block-post {
    border-bottom: 1px dotted #ccc; /* 薄いグレーであの懐かしの点線 */
    padding: 12px 0;
    margin: 0;
    display: flex;
    gap: 15px;
    align-items: center;
    font-size: 0.95rem;
}

/* 2. 日付：幅を固定して縦のラインを揃える */
.wng-style .wp-block-post-date {
    color: #888; /* グレー */
    flex-shrink: 0;
    min-width: 100px;
    font-family: monospace; /* 数字のガタつきを防ぐこだわり */
}

/* 3. カテゴリ：シンプルなバッジデザイン */
.wng-style .wp-block-post-terms {
    background-color: #f0f0f0;　/* 白に近い薄いグレー */
    color: #444; /* 濃いグレー */
    padding: 2px 8px;
    font-size: 0.7rem;
    border-radius: 2px;
}

/* 4. タイトル：PCでは一行、長い場合は「...」で省略 */
.wng-style .wp-block-post-title {
    margin: 0;
    font-weight: normal;
    white-space: nowrap;
    overflow: hidden;
    text-overflow: ellipsis;
}

/* 【こだわり】スマホ表示（600px以下）の最適化 */
@media (max-width: 600px) {
    .wng-style .wp-block-post {
        display: block; /* 横並びを解除して2行構成に */
        padding: 10px 0;
    }

    .wng-style .wp-block-post-date,
    .wng-style .wp-block-post-terms {
        display: inline-block;
        margin-bottom: 5px;
        font-size: 0.8rem;
    }

    .wng-style .wp-block-post-title {
        display: block;
        white-space: normal; /* スマホではタイトルを折り返して全文読ませる */
        font-size: 1rem;
        line-height: 1.4;
    }
}
/*画面の狭いスマホで「日付・カテゴリ・タイトル」を無理に1行に詰め込むと、文字が重なったり、タイトルが数文字しか読めなかったりと、かえって不便になります。「PCではスッキリ1行、スマホでは読みやすさ優先の2行（または最適化）」という、今のWebデザインの標準に合わせたこだわりを盛り込んでいます。 */

 操作で迷わないための「3つのコツ」

• 「リスト表示」を活用せよ：画面左上の三本線アイコンから階層を確認すると、目的のブロックをすぐ選べます。
• 不要なものは消していい：デフォルトで入る「アイキャッチ画像」や「抜粋」は、WNG(What’s New Generator)風にするならDeleteキーで消してOKです。
• プレビューで確認：特定のクラス（wng-style）を使っているため、公開中の他のページには影響しません。安心して下書きプレビューで確認してください。

おわりに：道具をシンプルに保つことが、最高の運営術

10年前のPCに工夫して最新OSを入れるワクワク感と同じように、WordPressも「古いプラグイン」に頼るのではなく、標準機能を「知恵」で使いこなす。それこそが、サイトを長持ちさせ、読者にとっても快適な環境を作る秘訣です。

プラグインの更新停止に怯える日々は、今日で終わりにしましょう。

あわせて読みたい：

What's New Generator 代替 プラグイン

Site KitにWhat's New Generator 代替 検索・サーチコンソールにも表示された 24/11/24:検索需要が高い為、代替プラグインの最新を確認・更新しました。依然として代替プラグインの検索件数が多いので、記事を更新し...

イイネ.biz

2024.07.21

使っちゃいけないプラグイン 193本 [発見次第更新]使ってはいけないWordPress Plugin ➡️解除も！

サイト攻撃の約６割がプラグイン起因。セキュリティ問題で停止されたもの。３年以上メンテナンスされず導入注意なもの。フォーラムや他サイトで見かけた➡その数なんと193本を「使ってはいけないプラグイン」として上げます。 理由は、開発チームが解散し新たに脆弱性が見つかっても対応が困難と思われるから。wordpress.orgのサイトでも"このプラグインは WordPress の最新3回のメジャーリリースに対してテストされていません。

イイネ.biz

2021.02.19

※

WordPress 6.9 の必要要件

セキュリティ&メンテナンス リリース

コアに関する 5つのバグ修正

ブロック エディターに関する 16個のバグ修正

2 つのセキュリティ修正

2023-12 x64 ベース システム用 Windows 11 Version 23H2(22H2) の累積更新プログラム (KB5033375) 今年最後の「Windows Update」、CVE番号ベースで33件の脆弱性へ新たに対処。（深刻度が最高の「Critical」は4件）

深刻度が最高の「Critical」

KB5033375 セキュリティ アップデート

サードパーティの脆弱性

KB5033375

23H2

22H2

複数のセキュリティ問題に対応
このマイナーリリースでは、コアの20のバグの修正とブロックエディターの10のバグの修正が行われています。
セキュリティ対応を含むリリースのため、ブランチ 6.2をお使いの場合は直ぐにアップデートをお勧めします。また、セキュリティ対応は、ブランチ6.1は6.1.2へなど、ブランチ4.1以降にも適用されています。
23/05/20 : 6.2.1➡ 6.2.2 ,　 6.1.2 ➡ 6.1.3
セキュリティ問題に対応し、1個のバグを修正しました。
#58333：WordPress 6.2.1 Shortcodes some shortcode no longer works!

ショートコード： 一部のショートコードが機能しないバグ対応

複数のセキュリティ問題に対応

• ユーザー生成データ内のショートコードを解析するテーマをブロックします。
• 添付ファイルのサムネイルを更新する際の CSRF の問題に対処。　CSRF:クロスサイトリクエストフォージェリ (cross-site request forgeries)は、 Webアプリケーションの脆弱性の一つ、もしくはそれを利用した攻撃。　またはXSRF：リクエスト強要、セッションライディング (session riding) とも呼ばれます。
• オープン埋め込み自動検出を介して XSS を許可する欠陥に対処。
• 権限の低いユーザーのブロック属性での KSES サニタイズをバイパスしてしまう問題に対処。 (サニタイジングとはHTMLとして意味のある文字を別の文字列に置き換える処理のことです。)

メンテナンス

コアのバグの修正

ブロックエディターのバグの修正

セキュリティ問題

CSRF

ウェブサイトの中には、サービスの提供に際しログイン機能を設けているものがあります。
ここで、ログインした利用者からのリクエストについて、その利用者が意図したリクエストであるかどうかを識別する仕組みを持たないウェブサイトは、外部サイトを経由した悪意のあるリクエストを受け入れてしまう場合があります。
このようなウェブサイトにログインした利用者は、悪意のある人が用意した罠により、利用者が予期しない処理を実行させられてしまう可能性があります。
このような問題を「CSRF（Cross-Site Request Forgeries／クロスサイト・リクエスト・フォージェリ）の脆弱性」と呼び、これを悪用した攻撃を、「CSRF攻撃」と呼びます。
発生しうる脅威
CSRF攻撃により、発生しうる脅威は次のとおりです。

• ログイン後の利用者のみが利用可能なサービスの悪用
• 不正な送金、利用者が意図しない商品購入、利用者が意図しない退会処理 等
• ログイン後の利用者のみが編集可能な情報の改ざん、新規登録
• 各種設定の不正な変更（管理者画面、パスワード等）、掲示板への不適切な書き込み 等

CSRF:クロスサイト・リクエスト・フォージェリ 出典：IPA 情報処理推進機構

XSS

ウェブアプリケーションの中には、検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容やHTTPヘッダの情報を処理し、ウェブページとして出力するものがあります。
ここで、ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。
この問題を「クロスサイト・スクリプティングの脆弱性」と呼び、この問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と呼びます。
クロスサイト・スクリプティング攻撃の影響は、ウェブサイト自体に対してではなく、そのウェブサイトのページを閲覧している利用者に及びます。

発生しうる脅威
クロスサイト・スクリプティング攻撃により、発生しうる脅威は次のとおりです。

• 本物サイト上に偽のページが表示される
• 偽情報の流布による混乱
• フィッシング詐欺による重要情報の漏えい 等
• ブラウザが保存しているCookieを取得される
• Cookie にセッションIDが格納されている場合、さらに利用者へのなりすましにつながる
• Cookie に個人情報等が格納されている場合、その情報が漏えいする
• 任意のCookieをブラウザに保存させられる
• セッションIDが利用者に送り込まれ、「セッションIDの固定化」 攻撃に悪用される

xss: クロスサイトスクリプティング 出典：IPA 情報処理推進機構

wp_kses()

データを無害化 する

XSS

XSS：cross site scripting

ウェブアプリケーションの中には、検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容やHTTPヘッダの情報を処理し、ウェブページとして出力するものがあります。
ここで、ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。
この問題をXSS「クロスサイト・スクリプティングの脆弱性」と呼び、この問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と呼びます。
クロスサイト・スクリプティング攻撃の影響は、ウェブサイト自体に対してではなく、そのウェブサイトのページを閲覧している利用者に及びます

出典：IPA 独立行政法人 情報処理推進機構

SQLi

SQLインジェクション攻撃により、発生しうる脅威は次のとおりです。

出典：IPA 独立行政法人 情報処理推進機構

CSRF

WordPress 6.0.3

　これはセキュリティ リリースであるため、
サイトをすぐに更新することをお勧めします。

セキュリティ ＆ メンテナンス

• ①　3 つのセキュリティ修正が行われました。
  • 1-1. リンク API 内で可能なSQLインジェクションの問題 SQL インジェクション
  • 1-2. プラグイン画面でXSSの脆弱性XSS
  • 1-3. the_meta()内の出力エスケープの問題
• ②　Core で 12 のバグ修正
• ③　ブロック エディタの 5 つのバグ修正

修正

Windows 11 Update

ハイライト

Build 22000.739

改善

同時リリース

既知の不具合

更新画像

Security Update

WordPress 5.8.3 セキュリティ アップデート

対策がされた内容

1. XSSの問題（投稿のスラッグを介して）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性
   （WP_Meta_Queryは、バージョン4.1から5.8にのみ関連）

改訂されたファイルのリスト

対応バージョン（22/01/06現在）

XSSの問題

ウェブアプリケーションの中には、検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容やHTTPヘッダの情報を処理し、ウェブページとして出力するものがあります。
ここで、ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。
この問題を「クロスサイト・スクリプティングの脆弱性」と呼び、この問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と呼びます。
クロスサイト・スクリプティング攻撃の影響は、ウェブサイト自体に対してではなく、そのウェブサイトのページを閲覧している利用者に及びます。

出典：IPA 独立行政法人 情報処理推進機構

SQLインジェクションの脆弱性

オブジェクトインジェクション

追記 22/01/18

5.8、5.7、5.6、5.5、5.4、5.3、5.2までのブランチ以降にメンテされた情報