2026年7月9日に公開されたばかりのWordPress 7.0.1から、わずか8日後の7月17日——突如としてリリースされた「WordPress 7.0.2」。この尋常ではないスピード更新の背景には、ログイン不要でサイト全体を乗っ取られかねない「Critical（緊急）」レベルの脆弱性が存在しました。

WordPress.orgは異例の強制自動アップデート（Forced Update）を断行。しかし、あなたのサイトは本当に最新版に切り替わっていますか？ 本記事では、今回の緊急アップデートの真相と、サイト管理者が今すぐ取るべきアクションを徹底解説します。

なぜ7.0.1から「たった8日」で公開されたのか

通常、マイナーアップデートは数週間から数ヶ月のスパンで計画されます。しかし今回は、一般公開前に既に攻撃者の標的となっている痕跡が観測されたため、パッチ公開を前倒しせざるを得ませんでした。

7.0.2は単なるバグ修正ではなく、「セキュリティリリース」に分類されます。具体的には「Critical（緊急）」1件と「High（危険度高）」1件という、最悪の組み合わせによる脆弱性を塞ぐための応急処置なのです。

何が危険だったのか？——技術的脅威の内幕

攻撃者はこの脆弱性を連鎖させることで、管理者権限を奪取することが可能でした。

– Critical：REST API バッチ処理の経路混乱（RCE）

  REST APIのバッチエンドポイントが誤ったルートを処理してしまい、入力バリデーションを迂回されます。これにより、SQLインジェクションと連鎖し、未認証（ログイン不要）のまま任意のコード（RCE）が実行可能な状態でした。

– High：WP_Query のSQLインジェクション

  特定のパラメーター（`author__not_in`）のサニタイズ処理が不十分だったため、SQL文が直接書き換えられる脆弱性が存在しました。

この2つが組み合わさることで、デフォルト設定のままのサイトが、インターネット上に無防備にさらされていたことになります。

WordPress.org が「強制自動アップデート」を発動した理由

脆弱性の影響範囲は WordPress 6.9 〜 7.0.1 という広範囲に及びました。セキュリティチームはこの深刻度を鑑み、管理者の設定に関わらずバックグラウンドで強制的にアップデートが走る「フォースアップデート」を実施。

これはセキュリティ修正の詳細が公開された直後から、ハッカーが自動攻撃ツールを一斉に稼働させる「ゼロデイ攻撃」を防ぐための緊急措置です。

公式修正内容とバックポート情報

7.0.2 では以下の2点が公式に修正されました。

– Facilitated SQL Injection（WP_Query）

– REST API batch-route confusion による RCE

なお、古いバージョンをご利用の方のために、下位バージョンへのバックポートも提供されています。

– 6.9.5（両方の脆弱性を修正）

– 6.8.6（SQL Injection のみ修正）

今すぐ確認すべき「サイト健全性チェックリスト」

自動更新に頼るだけでなく、目視での確認があなたのサイトを守る最後の砦です。以下の項目を今すぐダッシュボードでチェックしてください。

– [ ]バージョン確認：管理画面 > ダッシュボード > 更新 で「7.0.2」と表示されているか。

– [ ] 自動更新のブロック有無：define(‘WP_AUTO_UPDATE_CORE’, false); などで強制停止していないか。

– [ ] 不審なアカウント：管理者権限を持つユーザーに見覚えのない名前が追加されていないか。

– [ ] ファイル改ざん：最近更新されたファイル（特にfunctions.phpや.htaccess）に心当たりがないか。

2026年3月、WordPress コミュニティに小さくない衝撃が走りました。
6.9.2 → 6.9.3 → 6.9.4 と、わずか 48 時間の間に 3 回のマイナーアップデートが連続リリースされたのです。

「自動更新が続いて怖かった」「何が起きていたの？」
そんな声が世界中で上がりました。

この記事では、この異例の連続リリースの背景を、一般ユーザーにも分かりやすく整理して解説します。

第1章：6.9.2（3/10）— 大規模なセキュリティ修正が一気に投入された日

6.9.2 は、合計10件の重要な脆弱性を修正するセキュリティアップデートでした。

🔐 修正された主な脆弱性

• XSS（クロスサイトスクリプティング）
• 権限昇格の可能性
• PclZip のパストラバーサル
• Notes 機能の権限バイパス
• getID3 ライブラリの XXE（XML 外部実体参照）

いずれも放置すれば攻撃に悪用される可能性があるため、
WordPress チームは迅速にパッチを公開しました。

しかし、このスピードが後の混乱につながります。

第2章：6.9.3（3/10）— 6.9.2 適用後に一部サイトが“真っ白”に

6.9.2 を適用した直後、世界中のユーザーから次々と報告が上がりました。

❗ 典型的な症状

• サイトが真っ白になる（Fatal error）
• 管理画面にアクセスできない
• 特定テーマのテンプレート読み込みでエラー発生

原因は、
一部テーマの非標準テンプレート処理と WordPress コアの変更が衝突したこと。

WordPress.org は 6.9.2 を一時撤回し、
緊急修正版として 6.9.3 を数時間以内にリリースしました。

第3章：6.9.4（3/11）— セキュリティ修正の“未適用”が発覚し、再修正へ

6.9.3 でクラッシュ問題は解決しましたが、
WordPress セキュリティチームが調査を進める中で、
6.9.2 で修正したはずの脆弱性の一部が実は適用されていなかったことが判明。

🔍 未適用だった修正

• PclZip のパストラバーサル
• Notes 機能の権限バイパス
• getID3 の XXE

これらはセキュリティ上重要な修正であるため、
翌日 6.9.4 として完全版パッチがリリースされました。

まとめ：なぜこんな異常事態になったのか？

🟦 原因1：修正規模が大きすぎた

10件の脆弱性を一度に修正する大規模パッチだった。

🟥 原因2：テーマ側の非標準コードとの衝突

6.9.2 の変更が一部テーマと噛み合わず、サイトがクラッシュ。

🟨 原因3：セキュリティ修正の一部が未適用

内部 QA の見落としにより、修正が完全に反映されていなかった。

Cocoon ユーザー（あなたの読者）へのアドバイス

• Cocoon は標準準拠なので影響は比較的軽微
• 6.9.4 に更新しておけば安全性は確保される
• 今回の件は「WordPress の裏側」を知る良い機会
• ブログ運営者は自動更新のログを確認しておくと安心

なぜ「6.9」直後のアップデートは危険？

• 初版に付き物の「初期バグ」: メジャーアップデート直後は、世界中で予期せぬ不具合が報告される「人柱」期間。
• 今回懸念したリスク: 6.9で導入された新しいスクリプト読み込み最適化と、既存のキャッシュプラグイン（WP Fastest Cache等）との競合リスクについて。

満を持して登場した「6.9.1」での改善点

• 49件の修正という安心感: 致命的なCPU負荷問題や、エディターの挙動不審が解消された「枯れたバージョン」としての魅力。
• メンテナンスリリースの重要性: 「新機能」ではなく「安定性」を重視するユーザーにとっての6.9.1の立ち位置。

【実録】Cocoon × WordPress 6.9.1 導入レポート

検証環境のスペック: PHP 8.3、テーマCocoon 2.9.0.1での挙動。

環境情報は以下です。
----------------------------------------------
サイト名：Webサイトに必要なことと道具
サイトURL：https://xn--ecka7j.biz
ホームURL：https://xn--ecka7j.biz
コンテンツURL：/wp-content
インクルードURL：/wp-includes/
テンプレートURL：/wp-content/themes/cocoon-master
スタイルシートURL：/wp-content/themes/cocoon-child-master
親テーマスタイル：/wp-content/themes/cocoon-master/style.css
子テーマスタイル：/wp-content/themes/cocoon-child-master/style.css
スキン：/wp-content/themes/cocoon-master/skins/silk/style.css
WordPressバージョン：6.8.3
PHPバージョン：8.3.21
ブラウザ：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/144.0.0.0 Safari/537.36
サーバーソフト：Apache
サーバープロトコル：HTTP/1.1
言語：ja;q=0.8
----------------------------------------------
テーマ名：Cocoon
バージョン：2.9.0.1
カテゴリー数：20
タグ数：92
ユーザー数：1
----------------------------------------------
子テーマ名：Cocoon Child
バージョン：1.1.3
style.cssサイズ：14543 バイト
functions.phpサイズ：1861 バイト
----------------------------------------------
Gutenberg：1
Font Awesome：5
Auto Post Thumbnail：1
Retina：0
ホームイメージ：/wp-content/uploads/2020/02/ogt-512-512-024-068.png
----------------------------------------------
ブラウザキャッシュ有効化：1
HTML縮小化：0
CSS縮小化：1
JavaScript縮小化：1
Lazy Load：1
----------------------------------------------
利用中のプラグイン：
Advanced Custom Fields 6.7.0
Aurora Heatmap 1.7.1
EWWW Image Optimizer 8.3.1
Query Monitor 3.20.2
Regenerate Thumbnails 3.1.6
SiteGuard WP Plugin 1.7.9
Site Kit by Google 1.171.0
SlimStat Analytics 5.3.5
SVG Support 2.5.14
UpdraftPlus - Backup/Restore 1.26.1
Wordfence Security 8.1.4
WP-Optimize - Clean, Compress, Cache 4.4.1
WPCode Lite 2.3.3
WP Consent API 2.0.0
WP Fastest Cache 1.4.6
WP Multibyte Patch 2.9.3
WP Statistics 14.16
XO Security 3.10.8
----------------------------------------------

アップデートの手順:

1. UpdraftPlusでの完全バックアップ
2. 6.9.1への一気上げ
3. キャッシュプラグインとCocoon側のキャッシュ再生成

結果:

慎重派が教える「アップデート後に必ず見るべき3箇所」

• ウィジェットとカスタマイザー: 6.9系の変更が影響しやすい場所。
• お問い合わせフォームの送信テスト: システムメール周りの修正が入ったため必須。
• モバイル表示のチェック: CSS最適化によるレイアウト崩れがないか。

まとめ：安定こそが最大のSEO

新機能を追うことも大切ですが、個人ブログやビジネスサイトにとって最も大切なのは「止まらないこと」です。6.9.1へのアップデートは、そのバランスが取れたベストなタイミングでした。

「WP Fastest Cache」利用者のためのアップデート直後チェック

1. 全キャッシュの完全削除（必須）

2. 「CSSの縮小・結合」設定の一時的な見直し

• CSSの縮小 (Minify CSS): 一度チェックを外して改善するか確認。
• CSSの結合 (Combine CSS): 6.9の「オンデマンド読み込み」と最も競合しやすい項目です。崩れがある場合はオフにしてください。

3. ログインユーザーへのキャッシュ非表示設定

• ログインユーザー (Logged-in Users): 「ログインユーザーに対してキャッシュを表示しない」設定。
• これにより、ログイン中の自分だけは常に最新の（キャッシュされていない）状態を確認でき、不具合の切り分けが容易になります。

4. モバイル表示の個別確認

プラグインの整合性

Top

　Plugin互換性予測

　Table-topに戻る

v 6.9.1バグフィックスまとめ

BugFix-Top

　WordPress 6.9.1 BugFix

　
　記事の保存はデータベースへの書き込みを伴います。データベースが肥大化したり、インデックスが適切に構築されていない場合、クエリの実行時間が長くなり、保存に時間がかかることがあります。

サーバーのphpメモリ上限とphp Postサイズ上限を、512Mから1,024Mに増やす変更しても改善されなかった。

今回、追記編集しようとした記事は、

５年以上前のパソコンでもWindows11は動くのか？ Let's note sz6 Core i5-7200U 21H2 ➡ 25H2

あなたはWindows11で新しいパソコン買いますか？ここでは5年前(執筆時）Intel 7世代CPU:sz6:2016年10月モデルにWin11インサイダープレビューから動作検証、以降順次・最新版へアップデートし、経過チェックし詳細にLog記録いくもので最新は23H2･･･

イイネ.biz

2021.07.09

　「５年前のパソコンでもWindows11は動くのか？ Let’s note sz6 Core i5-7200U」は、2021/07/09に初投稿したもので、現在の文字数が31,372。Window 11の更新(KBメンテでBuild Noが上がる)都度、50数回に渡り追記・編集してきたもので、細かな修正も含めると60個程度のリビジョンが溜まっていた。

　「使っちゃいけないプラグイン 153本 [発見次第更新]使ってはいけないWordPress Plugin ➡️解除も！ 」は、2021/02/19に初投稿したもので、現在61,316文字。Pluginの発見都度、2022年に23回、2023年に35回、2024年は既に26回、追記・編集してきたもの。こちらなんと90近いリビジョンが溜まっていた。

使っちゃいけないプラグイン 191本 [発見次第更新]使ってはいけないWordPress Plugin ➡️解除も！

サイト攻撃の約６割がプラグイン起因。セキュリティ問題で停止されたもの。３年以上メンテナンスされず導入注意なもの。フォーラムや他サイトで見かけた➡その数なんと191本を「使ってはいけないプラグイン」として上げます。 理由は、開発チームが解散し新たに脆弱性が見つかっても対応が困難と思われるから。wordpress.orgのサイトでも"このプラグインは WordPress の最新3回のメジャーリリースに対してテストされていません。

イイネ.biz

2021.02.19

「WordPress 脆弱性とバージョン推移　」では、2019/08/28の初投稿以来、WordPressの新バージョンが発表・公開される都度、追記・編集してきた。現在の文字数は、12,683

WordPress 脆弱性とバージョン推移 v.7.0.２

WordPress 7.0.2あなたのホームページがワードプレスで作られていて 何も対策をしていないと改ざんされたり・危険です。ホームページに訪れてあなたのお客さんになってくれるかも知れない人たちに不安を抱かれてしまいます。（あなたのホームページが何で作られているか？な人はお問い合わせください） WordPressは、積極的に保守されていますか？ WordPress.orgでは、「積極的に保守されている5.n系統の最新版以外の以下のバージョンは、安全に使用することはできません。」と公式に表明しています。以下に、WordPressの、脆弱性とバージョンの推移をお知らせします。

イイネ.biz

2019.08.28

これら以外にもリライトを続けているものもあるが、これらは今後もリライトを続けていくことになるので、この課題は解決しなくてはならない。

課題整理と問題解決に向けて

　問題は、リライトを続けることでリビジョンNoが上がりWordPressや多くのCMSが管理する同じ記事に関連する古いリビジョンが溜まっていくことになり、データベースへの影響（パフォーマンスやデータベース領域の像祭）が進む。

　今回の事象でそうも行かないこと、今後も「保存」で待たされることになる・・・ということに対処しなければという思いに至った。

生成AI GEMINIに聞く

GEMINIに質問した内容は以下。

回答は３種類

UpdraftPlus

普段のバックアップは、ホスティングサービス任せなのでバックアップの為のプラグインを利用することがなかったが、今回フルバックアップ（WordPress全体のバックアップ）ということで利用した。

バックアップお薦めプラグインUpdraftPlus

バックアッププラグインとしてのUpdraftPlusの優位性（データ復旧がワンタッチで簡単に行えること、など）UpdraftPlusのインストールから有効化＆設定、実際のバックアップ操作および、バックアップの実態までの紹介。バックアップ・リストアに特化されていて（操作が簡単な）プラグインUpdraftPlusのご紹介あなたのWordPresサイトの運営の必要なこと

イイネ.biz

2021.09.11

 WP-Optimize

GEMINIが提示したPluginのまとめ

　Revision control

　Written：2024/10/16 ; Revision control plugin presented by GEMINI

_	#	Plugin 名	WordPress.org Install WP ver.	主な機能	特徴	GEMINI提示 ３回
	1	WP-Optimize	1,000,000+ WP 6.6.2	◉ 不要なリビジョンの削除 ◉ 一時的なデータの削除 ◉ スパムコメントの削除 ◉ オプティマイズスケジュール設定 ◉ データベースの分析 ◉ データベーステーブルの最適化 ◉ スケジュールによる自動最適化 ◉ キャッシュのクリア	◉ シンプルな操作性 ◉ 高いパフォーマンス ◉ 多機能	1位 1位 1位
	2	Optimize Database after Deleting Revisions	80,000+ WP 6.6.2	◉ リビジョン削除後の自動最適化 ◉ 手動による最適化も可能 ◉ カスタム投稿タイプのリビジョン管理 ◉ 添付ファイルのリビジョン管理 ◉ 自動スケジュールによる最適化	◉ 特定の機能に特化しているため、シンプルで使いやすい ◉ リビジョン削除とデータベース最適化をワンストップで実行できる	２位 ４位 ２位
	3	WP-Sweep	100,000+ WP 6.6.2	◉ トランジェント、自動保存、投稿メタ、コメントメタなどの削除 ◉ カスタム投稿タイプやタクソノミーの削除 ◉ スケジュールによる自動クリーンアップ	◉データベースのクリーンアップを細かく設定できる	３位
	3	WP -DBManager	80,000+ WP 6.3.5	◉データベースのバックアップ ◉データベースの修復 ◉データベースの最適化 ◉テーブルの修復 ◉データベースのエクスポート/インポート ◉SQLクエリの実行	◉多機能 ◉高度な設定が可能 ◉データベース管理を包括的に行える	３位
	4	Advanced Database Cleaner	100,000+ WP 6.6.2	◉カスタムSQLクエリによるクリーンアップ ◉バックアップの作成 ◉詳細なログ	◉高度なデータベースクリーンアップ機能を提供する	４位
	5	UpdraftPlus – Backup /Restore	3,000,000+ WP 6.6.2	◉WordPress全体のバックアップ ◉データベースのバックアップ ◉データベースの最適化 ◉ファイルのバックアップ ◉自動スケジュールによるバックアップ ◉クラウドストレージへのバックアップ ◉スケジュール設定による自動バックアップ ◉復元機能	◉バックアップと最適化を同時に実行できる ◉クラウドストレージとの連携が可能 ◉多様なバックアップオプション	5位 ４位 ※ Revsion管理用として提示されたが、 BackUpプラグイン
	5	Clean Up – WordPress	NotFound	◉データベースのクリーンアップ ◉不要なショートコードの削除 ◉CSS/JavaScriptの最適化 ◉不要なデータの削除（不要な投稿、コメント、タグ、カテゴリーの削除） ◉トランザクションテーブルの最適化 ◉自動保存データの削除 ◉カスタムテーブルの管理 ◉データベースの分析 ◉トランジェントの削除 ◉オプションの削除	◉不要なデータを細かく指定して削除できる ◉データベースを軽量化できる	5位 2位 5位 ※ WordPress.orgに 存在せず

症状は、記事の更新で、ディスクリプション部分が更新できません。タイトルや他のカスタムHTMLブロックに入れたテーブルなどは更新できています。

この記事では、500Internal Server Errorに至る前兆、エラー原因の究明と対策方法についてお伝えしたいと思います。

更新エラー

description

タイトルや記事部分の編集を終えたので、メタディスクリプション部分の内容を編集して更新します。

• 編集前のディスクリプションは322文字でプラグインの数は146本でした。
• 今回、プラグインの数は153本に増え、ディスクリプション内の文書も編集して文字数は222文字になりました。
• ここで「更新」ボタンを押したのですが、ディスクリプションの内容が元に戻って（ロールバックして）います。

• ページの最上部までスクロールしてみると、「更新に失敗しました。」となっています。
  同時編集したタイトル部分の更新（153本）は更新され反映されています。
• また、編集画面から通常の表示に戻ると、同時編集した記事部分の追加及び編集部分は更新され反映されています。

カスタムcss

さらに、カスタムcss部分を外部Link化して、該当カスタムcssを無効化（ブランク又はコメント化）した後、「更新」ボタンを押しても結果ロールバックされてしまう。

カスタムcss内の定義も、「更新」したのですが、ロールバックしてしまいます。

HTML Check

Nu Html Checker         で検査してみたのですが、エラーになるような致命的なHTMLミスはありませんでした。

Error前触れ？

Cocoonフォーラム

　Cocoonフォーラムの「Cocoonテーマに関する質問 」に相談しました。

フォーラム投稿

私

Title: 記事の更新で、ディスクリプション部分が更新できません。タイトルや他のカスタムHTMLブロックに入れたテーブルなどは更新できています。

本文：お世話様です。

該当記事： https://xn--ecka7j.biz/security/1242/ で、

「更新」ボタンを押しても一部が更新されないため、

ページの最上部までスクロールしてみると、「更新に失敗しました。」となっています。

（但し、同時編集したタイトルや記事部分の追加及び編集部分は更新され反映されています）

ただ、24/04/25時点までは、ディスクリプション部分の更新が出来ていました（タイトル上の本数と同じ146本）。

その後、何度か同じ記事を更新していますがその時はディスクリプション部分の変更は行わなかったため分かりません。

更に24/07/15にディスクリプション部分の変更(147本)を行った時から24/08/01(153本)までは更新されていません。

（7/15、7/19、7/29、8/1に同記事の編集を行っています。）

•ディスクリプション部分の画像（更新前：322文字➡️編集：222文字「更新」ボタン➡️結果：322文字に戻る）と、「更新に失敗しました。」の画像を添付します。

HTML Checkerで確認すると、CSS部分とHTML部分にいくつかエラーがありますが、これが関係してるとも思えませんが、念の為。

環境情報をつけて

mk2

以下のような場合、更新できますでしょうか

•          ディスクリプション部分を空にする

•          ディスクリプションを、10文字くらいの短い文章にする

上記で更新できた場合は、ディスクリプションに入力した文章に、何か問題があるのかと思われます。

例えば、何か不正な文字などは入っていたり。

（こちらからは入力したものが見えませんので、分からないんですよね）

上記のようなケースが、更新できないとすると、別の原因だと思います

追伸です。

カスタムcss部分も同様に更新できません。

カスタムcss部分を修正して外部css化した後、カスタムcss部分を削除し更新しようとしたのですが、同様にエラーとなり更新できませんでした。

カスタムcss部分を全削除しても、一行だけコメント行にして更新しようとしても、同様にエラーとなり更新できません。

（画像添付）

ありがとうございます。

全削除しても1文字だけにしてもエラーとなり更新できませんでした。

その下の、カスタムcss部分も修正したり、外部css化して全削除しても１行だけコメント行

/*    */ に、しようとしてもエラーとなり更新できませんでした。

エラーとなった場合でも、表示上はブランクになっています。

一度更新を閉じて、再度更新しようとするとものと状態に戻った状態で表示されます。

まさかと思いますが、Cocoon設定を変更して保存できますか？

まさに更新ができない状態のようですね。

•          デベロッパーツールのConsole部分にエラーは出ていないのか

•          エラーログに、何か落ちていないのか

•          親テーマにすると更新できるのか

 上記のようなことはご確認いただいていますでしょうか

@mk2_mk2 さん

カスタムcss削除＆更新でデベロッパーツールで 500サーバーエラーとなっています。

 api-fetch.min.js?ver…er=20240522121129:2

POST  https://xn--ecka7j.biz/jn-json/wp/v2/posts/1242?_locale=user  500 (Internal Server Error)

@chu-ya さん

Cocoon設定を変更して保存でデベロッパーツールにエラー表示があります。

 Uncaught

TypeError:Cannot read properties of undefined (reading ‘run’)

m=kernel_loader,loader_js_executable:482 Uncaught

TypeError: Cannot read properties of undefined (reading ‘run’)

at m=kernel_loader,load…executable:482:3959

about:blank:1 Denying load of chrome-extension://gaiceihehajjahakcglkhmdbbdclbnlf/content.css. Resources must be listed in the web_accessible_resources manifest key in order to be loaded by pages outside the extension.

about:blank:1 Denying load of chrome-extension://gaiceihehajjahakcglkhmdbbdclbnlf/content.css. Resources must be listed in the web_accessible_resources manifest key in order to be loaded by pages outside the extension.

about:blank:1 Denying load of chrome-extension://gaiceihehajjahakcglkhmdbbdclbnlf/content.css. Resources must be listed in the web_accessible_resources manifest key in order to be loaded by pages outside the extension.

about:blank:1 Denying load of chrome-extension://gaiceihehajjahakcglkhmdbbdclbnlf/content.css. Resources must be listed in the web_accessible_resources manifest key in order to be loaded by pages outside the extension.

content.js:1

GET chrome-extension://invalid/ net::ERR_FAILED

•          デベロッパーツールのConsole部分にエラーは出ていないのか

•          エラーログに、何か落ちていないのか

•          親テーマにすると更新できるのか

上記の2番目・3番目の確認結果は、どういう状態なのでしょうか。

「500 Internal Server Error」（サーバー内部エラー）ですから、確実に何らかのエラーが発生しています。

その原因を探っていく必要があると思います。

詳細は、エラーログなどを確認しないと、何が起きているかは分からないと思います。

wp-postmetaが更新されないのは、何らかのエラーが原因で、ロールバックされている可能性があると思います。

POST   https://xn--ecka7j.biz/jn-json/wp/v2/posts/1242?_locale=user   500 (Internal Server Error)

以下と同じ現象と思われます。

https://colorful.velvet.jp/webdesign/wordpress_update_error

colorful.velvet.jp

エラーログ取得

フォーラム再開

@mk2_mk2  さん

ありがとうございます。

エラーログの内容をGEMINIに聞いてみました。

もしかして、メモリ不足エラー なのかも、と、いうのはこの記事60,000文字を超えていまして。･･･

サイトヘルスで確認：

PHP メモリ上限                         200M

PHPメモリ制限 (管理画面のみ)        256M

メモリ制限を変更してリトライしたいと思います。

GEMINIエラーログの解説

このエラーログは、WordPressサイトで発生した問題を示しています。

メモリ不足エラー

最初のエラーログは、PHPのメモリ不足エラーです。

•          内容: Allowed memory size of 209715200 bytes exhausted (tried to allocate 131072 bytes) in /home/a-itc/xn--ecka7j.biz/public_html/wp-includes/class-wpdb.php on line 2320

•          日本語訳: 使用可能なメモリ容量 (209,715,200 バイト) を超えてしまい、メモリ割り当て (131,072 バイト) に失敗しました。 (ファイル: /home/a-itc/xn--ecka7j.biz/public_html/wp-includes/class-wpdb.php, 行: 2320)

•          原因: 実行中のスクリプト (おそらくWordPress) が、割り当てられたメモリ容量を超えるほど多くのメモリを使用しようとしたためです。

解決方法

メモリ不足エラー

•          WordPressのプラグインやテーマを見直す: メモリを大量に消費する可能性のあるプラグインやテーマがないか確認する。不要なものは無効化するか削除する。

•          PHPのメモリ制限を増やす (サーバー管理者が必要): サーバーの管理者と相談し、PHPのメモリ制限値を一時的に上げることで、エラーを回避できる場合があります。ただし、根本的な解決ではなく、メモリリークなどの問題の可能性があるので注意が必要です。

補足:

•          エラーログには、エラーが発生した関数の情報や、エラーが発生したコードの場所 (行番号) が含まれています。必要に応じて、これらの情報も参考にしてください。

以上の解決方法を試しても問題が解決しない場合は、WordPressのフォーラムや、サーバー管理者に相談することをおすすめします。

私には、エラーログ全部は見えませんので、言えることだけ。

投稿者::

内容: Allowed memory size of 209715200 bytes exhausted (tried to allocate 131072 bytes) in /home/a-itc/xn--ecka7j.biz/public_html/wp-includes/class-wpdb.php on line 2320

WordPressが使用できるメモリの最大量が209,715,200バイト（約200MB）で、そのメモリのすべてを使い果たしたということだと思います。

そして、追加で131,072バイト（約128KB）のメモリを確保しようとしたが、既にメモリの上限に達していたため、確保できなかったのかな・・・と。

まずは、メモリ容量を増やしてみることだと思います。

エックスサーバーであれば、比較的簡単にphp.iniを修正できたと思います。

php.ini設定について

php.ini設定について | レンタルサーバーならエックスサーバー

レンタルサーバー「エックスサーバー」のご利用マニュアル｜PHPプログラムの設定ファイルである「php.ini」をサーバーパネル上で簡単に編集できる「php.ini設定」機能に関するご案内です。

www.xserver.ne.jp

以下の値がどうなっているのか、確認後に増やす感じなのかなと。

•          memory_limit

•          post_max_size

「memory_limit >= post_max_size」である必要があったと思います。

ちなみに、私もWordPress 6.5.5を使っていますが、特にこの問題は起きていません。

（メモリに関しては十分確保していると思いますし）

@mk2_mk2 さん

お陰様で、php.iniの変更も終わり

記事の更新（ディスクリプションの更新とカスタムcss記述の削除）

も終わり、正常（CSSのエラーもなくなり）にできました。

サーバーパネル ＞ 設定対象ドメイン：イイネ.biz　＞ PHP　＞ php.ini設定 ＞

•          memory_limit　：　200M　➡️　256M

•          post_max_size　：　30M　➡️　128M

サイトヘルスでの確認も

PHP メモリ上限              256M

PHP POST サイズ上限            128M

となりました。

エラーログでは、200MBを超えていますし。
どちらも、512Mくらいにしても良い気がしますよ。

現状で上手くいっていますから、そんなに心配ないのかもしれませんけれど。
今後、もっと使用量が増える可能性もあるかもしれませんので、余裕はあった方が良いと思います。

了解です共に512MBまでに変更しました。

Php.ini

memory_limit　      512M　

post_max_size　     512M　

サイトヘルスで確認

PHP メモリ上限          512M

PHP POST サイズ上限  512M

500 Internal Server Error

有効インストール数: 50,000+であるため、多くのサイトで見直し必須。あなたのサイトは大丈夫でしょうか？

プラグインの見直しが必要な理由

このプラグインは WordPress の最新3回のメジャーリリースに対してテストされていません。もうメンテナンスやサポートがされていないかもしれず、最新バージョンの WordPress で使用した場合は互換性の問題が発生する可能性があります。

WordPress.org

”https://ja.wordpress.org/plugins/really-simple-csv-importer/”

長期間メンテナンスが行われていないプラグインは、既に開発チームが解散しているかも知れず、新たな不具合（脆弱性）が見つかっても対応されることは無いのです。

ワードプレス サイトが攻撃を受ける割合

全体の約６割近くが、plugin：プラグイン、
続いて16%以上が、brute force：ブルートフォースアタックです。

WordFence(セキュリティプラグイン[WordFence]の作成元)

really simple csv importerの代替プラグイン

TablePress 2.4

Import WP 2.14.0

Import any XML or CSV File to WordPress

Importer 7.11.3

Import Settings into WordPress SEO Plugin

CSV Importer 0.4.2

使っちゃいけないプラグイン

使っちゃいけないプラグイン 191本 [発見次第更新]使ってはいけないWordPress Plugin ➡️解除も！

サイト攻撃の約６割がプラグイン起因。セキュリティ問題で停止されたもの。３年以上メンテナンスされず導入注意なもの。フォーラムや他サイトで見かけた➡その数なんと191本を「使ってはいけないプラグイン」として上げます。 理由は、開発チームが解散し新たに脆弱性が見つかっても対応が困難と思われるから。wordpress.orgのサイトでも"このプラグインは WordPress の最新3回のメジャーリリースに対してテストされていません。

イイネ.biz

2021.02.19

ハイライト

ブロックテーマにさらなるデザインオプション

• カラーやフォントのセットを作成して、1つのテーマでデザインの組み合わせを増やすことができます。デザインの可能性を広げ、サイトの幅広いスタイルガイドラインの中で視覚的な多様性を可能にします。

サイトエディタで新ページレイアウトによるワークフローの簡素化

• サイトエディターの新しいサイドバイサイドレイアウトで、すべてのページと、選択したページのプレビューを確認できます。

安心のプラグイン自動更新

• プラグインの自動更新の利便性と、何か問題が発生した際のロールバックの安心感を同時に享受できます。サイトに新しいレベルのセキュリティを確保しつつ、利用可能になるたびに機能は拡張されます。その実現には時間も帯域幅もほとんど必要ありません。

同期パターンのコンテンツのカスタマイズ

• 全体で一貫したスタイルを維持しながら、同期パターンの各インスタンスでコンテンツを変更できます。コンテンツの上書きは、同期パターン内の見出し、段落、ボタン、画像ブロックに対して設定できます。

パフォーマンス

• WordPress 6.6では、冗長な WP_Theme_JSON 呼び出しの削除、大きなオプションの自動ロードの無効化、不要な polyfill 依存の削除など、重要な更新が行われました。その他のハイライトには、投稿の埋め込みの遅延読み込み、新しい data-wp-on-async ディレクティブ、エディター内のテンプレートの読み込み全体で約35%の速度向上、などがあります。

アクセシビリティ

• このリリースにはアクセシビリティに関する58件の修正と機能強化が含まれています。これらは WordPress 体験の根本部分に焦点を当てており、特に新しいサイト編集体験を提供するデータビューコンポーネントや、ブロックやパターンの操作で重要な手段を提供するインサーターのような領域に重点を置いています。

WordPress 6.6 の新機能

デザインとレイアウト

パブリッシングと編集

• 洗練されたパブリッシュフロー: パブリッシュ時の重要な情報が強調され、編集するすべての要素に対して標準化されたインスペクタが表示されます。
• クラシックテーマのモダンなパターン管理: クラシックテーマでもサイトエディタのパターン機能が利用できるようになり、パターンをより機能的でモダンに管理・作成できます。
• ブロックグループのスタイル設定: テーマ作成者はブロックのセクション用のスタイルオプションをパッケージ化し、ユーザーが美しい統一感のあるデザインと柔軟性を追加できるようにすることができます。
• カスタムフィールドの編集: ブロックバインディングAPIを使用してカスタムフィールドを持つ接続されたブロックを作成し、後でエディタ内で直接カスタムフィールドを編集できます。
• 編集ショートカット: 選択したブロックをグループ化するには⌘G（Mac）またはCtrl+G（Windows）、リストアイテムをインデントするにはTabキーを使用できます。

開発者向け

• 統一された拡張性API: wp.editorグローバル変数の下で利用可能なスロットにより、エディタ間で拡張機能を統合できます。

このマイナーリリースには、
コアの12件のバグフィックスと
ブロックエディターの9件のバグフィックスが含まれます。

Core

I18N ※: WordPressのI18Nは、国際化（Internationalization）の略称

trunk ※: WordPressコアの開発ブランチ（trunk ブランチは、最も新しい開発コードが格納されているブランチ）

Block editor

Security Update

WordPress 5.8.3 セキュリティ アップデート

対策がされた内容

1. XSSの問題（投稿のスラッグを介して）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性
   （WP_Meta_Queryは、バージョン4.1から5.8にのみ関連）

改訂されたファイルのリスト

対応バージョン（22/01/06現在）

XSSの問題

ウェブアプリケーションの中には、検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容やHTTPヘッダの情報を処理し、ウェブページとして出力するものがあります。
ここで、ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。
この問題を「クロスサイト・スクリプティングの脆弱性」と呼び、この問題を悪用した攻撃手法を、「クロスサイト・スクリプティング攻撃」と呼びます。
クロスサイト・スクリプティング攻撃の影響は、ウェブサイト自体に対してではなく、そのウェブサイトのページを閲覧している利用者に及びます。

出典：IPA 独立行政法人 情報処理推進機構

SQLインジェクションの脆弱性

オブジェクトインジェクション

追記 22/01/18

5.8、5.7、5.6、5.5、5.4、5.3、5.2までのブランチ以降にメンテされた情報

WordPress5.5.3メンテナンス・リリース

1個のバグ対応

WordPress 5.5.2 セキュリティとメンテナンス リリース

セキュリティ問題WordPress サイトが攻撃される前に脆弱性を修正


• 非シリアライズ化リクエストの安全向上
  Deserialization(デシリアライゼーション)とは、
  ファイルに保存したりネットワークで送受信するために
  独自の形式に変換されたデータを、元のデータ形式に変換しなおすこと。
  
  これらのネイティブの逆シリアル化メカニズムの機能は、
  信頼できないデータを操作するときに悪意のある効果のために再利用される可能性があります。
  デシリアライザーに対する攻撃は、
  サービス拒否、アクセス制御、および
  リモートコード実行（RCE）攻撃を可能にすることがわかっています。


• マルチサイトネットワーク上の無効なサイトからのスパム埋め込みを無効化


• グローバル変数からXSSにつながる可能性のある問題を修正
  XSS：クロスサイトスクリプティング（cross site scripting）、
  Webアプリケーションの脆弱性もしくはそれを利用した攻撃。


• XML-RPCの特権昇格に関する問題を修正
  XML-RPC(遠隔手続き呼出し プロトコルの一種)
  エンコード（符号化）にXMLを採用し、転送機構にHTTPを採用)


• XML-RPC を利用した投稿コメントまわりの特権昇格に関する問題を修正


• DoS 攻撃がRCEにつながる可能性のあるメソッドの問題を修正
  RCE:リモートコード実行攻撃


• 投稿スラッグにXSSを格納するメソッドの問題を修正


• 任意のファイル削除につながる可能性のある保護されたメタを迂回するメソッドの問題を修正


• CSRFにつながる可能性のあるメソッドの問題を修正
  CSRF:クロスサイトリクエストフォージェリ (cross-site request forgeries)は、
  Webアプリケーションの脆弱性の一つ、もしくはそれを利用した攻撃。
  、またはXSRF。リクエスト強要、セッションライディング (session riding) とも呼ばれる。

　５.５ブランチ最新???

WordPress 脆弱性とバージョン推移 v.7.0.２

WordPress 7.0.2あなたのホームページがワードプレスで作られていて 何も対策をしていないと改ざんされたり・危険です。ホームページに訪れてあなたのお客さんになってくれるかも知れない人たちに不安を抱かれてしまいます。（あなたのホームページが何で作られているか？な人はお問い合わせください） WordPressは、積極的に保守されていますか？ WordPress.orgでは、「積極的に保守されている5.n系統の最新版以外の以下のバージョンは、安全に使用することはできません。」と公式に表明しています。以下に、WordPressの、脆弱性とバージョンの推移をお知らせします。

イイネ.biz

2019.08.28