E.P.ラボAIを使う日々から活かす日常へ無料ウェビナーを見る

ホーム ／ ブログ

WordPressのセキュリティ更新「7.1.4」について、ホームページを持つ個人事業主が確かめたいこと

セキュリティ

この記事は、2026年11月6日時点で公開されている公式情報をもとにまとめています。内容は更新されることがあるため、最新の情報は末尾の公式ページでご確認ください。

何が起きたか

  • 2026年10月28日、WordPressの開発元が、セキュリティ更新としてWordPress 7.1.4を公開しました。同じ発表のなかで、本体の更新処理に関わる弱点を含む複数の問題が直されたと説明されています。
  • JPCERT/CCのWeekly Report（2026-11-05号）によると、このうち「本体の更新処理中に、認証なしで任意のコード実行につながる脆弱性」（CVE-2026-119977）について、米国CISAがKnown Exploited Vulnerabilities（KEV）カタログに追加しています。
  • CISAのKEVカタログ（2026年11月3日追加）では、WordPress Coreの時間差を突く種類の問題として、本体のフルパッケージ更新のあいだに、認証されていない攻撃者がサーバー上でコードを実行しうる、と説明されています。
  • WordPress.orgのバージョン案内では、4.7系以降の各系列向けに修正済みの番号が示されています。なお、WordPressは最新版のみを積極的にサポートする、としています。
  • 同じセキュリティ更新では、画面表示に関わる複数の問題や、非公開のカスタマイザー変更が認証なしで見えてしまう問題なども直されています。くわしくは開発元の発表をご確認ください。
  • IPAの「重要なセキュリティ情報」一覧（2026年11月6日時点）には、この件の単独の注意喚起は見当たりませんでした。本記事はWordPress.org、CISA、JPCERT/CCの公開情報を根拠にしています。

関係するのはどんな人か

個人事業主の方の身近なところでは、たとえば次のような場合が考えられます（以下は説明のための架空の例です）。

  • お店や教室、士業のホームページをWordPressで運営している
  • 問い合わせフォームや予約の受付を、WordPressのプラグインで動かしている
  • 制作会社や知人に作ってもらったWordPressサイトを、自分で管理画面から更新している
  • レンタルサーバーの「簡単インストール」でWordPressを入れたまま使っている

テーマやプラグインを入れている場合も、本体とは別に更新の確認が必要です。JPCERT/CCの同じWeekly Reportでは、WordPress向けの拡張機能「YOOtheme Pro」についても、認証なしで遠隔からコード実行につながる脆弱性と、悪用が確認されたとの情報源が紹介されています。該当テーマを使っている方は、開発元の案内もあわせて確認してください。

確かめること

1. WordPress本体のバージョン

管理画面の「更新」や、ダッシュボードに表示されるバージョンを確かめます。WordPress.orgのバージョン案内（2026年10月28日公開）では、系列ごとの修正済みバージョンが次のとおり示されています。

系列 修正済みのバージョン
7.1系 7.1.4
7.0系 7.0.8
6.9系 6.9.11
6.8系 6.8.12
6.7系 6.7.11
6.6系 6.6.11
6.5系 6.5.14
6.4系 6.4.14
6.3系 6.3.14
6.2系 6.2.15

6.1系より前の系列にも、同じく修正済みの番号が案内されています。くわしい一覧はWordPress.orgの「Version 7.1.4」のページをご確認ください。4.6系以前は、セキュリティ更新の対象外とされています。

2. 自動更新が済んでいるか

WordPress.orgは、自動のバックグラウンド更新に対応しているサイトでは、更新処理が自動で始まると案内しています。自動更新を使っている場合でも、管理画面で現在のバージョンが上の表の番号以上になっているかを確認しておくと安心です。

3. テーマとプラグイン、画面まわりの部品

本体だけでなく、入れているテーマやプラグインの更新も管理画面で確認します。ホームページの見た目や動きを支えるJavaScriptや、それに付随する部品も、提供元が出している最新版へそろえておくと、本体だけの確認で見落とす部分を減らせます。

4. 自分で管理していない部分

サーバー会社のマネージドWordPressや、制作・運用を外部に任せている場合は、提供元や制作者が出している案内を確認します。分からないときは、「WordPress 7.1.4（CVE-2026-119977）への対応状況」を問い合わせると話が伝わりやすくなります。

5. 更新したあとの動作

本体やプラグインを更新したあとは、トップページの表示、問い合わせフォームの送信、予約や会員向けの画面など、普段お客様が使う流れを一通り試しておくと、気づきやすくなります。

WordPressだけの話ではありません（テーマ・プラグインとJavaScript）

今回はWordPress本体の弱点が話題になりましたが、本体だけが特別に危ないわけではありません。ホームページは、いくつものプログラムや部品を組み合わせて作られています。どの部品にも弱点が見つかることがあり、開発元はそのたびに直した版を出しています。

よく使われるものの一つが「JavaScript」です。JavaScriptは、ホームページのボタンやメニューを動かしたり、画面の表示を切り替えたりするためのプログラムの言語です。JavaScriptで作られた、よく使われる部品のまとまりは「ライブラリ」や「フレームワーク」（ホームページを組み立てるための土台）と呼ばれます。代表的なものに次があります。

  • Node.js（ノードジェイエス）：JavaScriptをホームページの裏側のコンピューターで動かすための仕組みです。
  • Vue.js（ビュージェイエス）：ホームページの画面を作るための土台です。
  • Next.js（ネクストジェイエス）：ホームページ全体を組み立てるための土台です。
  • Nuxt（ナクスト、Nuxt.jsとも呼ばれます）：Vue.jsを使ってホームページ全体を組み立てるための土台です。

自社のホームページでこうした部品が使われているかどうかは、見た目だけではわかりません。制作会社やIT担当に、WordPress本体とあわせて次のように問い合わせると確認しやすくなります。

「当社のホームページで使っているWordPress本体、テーマ、プラグイン、JavaScriptの部品（Node.js、Vue.js、Next.js、Nuxt など）の名前とバージョンを教えてください。それぞれ開発元が保守している版か、最新の修正が当たっているかもあわせて教えてください。今後の更新をどのくらいの間隔で行う予定かも伺えますか。」

困ったときの相談先

経済産業省と中小企業庁は、中小企業・小規模事業者向けに「サイバーセキュリティ特別相談窓口」（無料）を、地域のよろず支援拠点に設けています。窓口の一覧は、末尾の案内ページから開けます。IPAも「情報セキュリティ安心相談窓口」を設けています。国家サイバー統括室の「サイバー対応特設サイト」にも、事業者向けの相談窓口がまとめられています。

2026年11月5日には、国家サイバー統括室が、ウェブサイトやモバイルアプリにおける個人情報の漏えいにつながる不正アクセスへの基本的な対策をまとめた資料も公開しています。本体の更新確認とあわせて、サイト全体の点検の観点をそろえる材料になります。

E.P.ラボのメモ

AIの支援で文章や小さな仕組みを足したホームページでも、公開されている土台はサーバー上のWordPressです。記事を足した日に表示を確かめるのと同じように、本体・テーマ・プラグイン、JavaScriptの部品のバージョンも、ときどき確かめる手順に入れておくと落ち着いて対応できます。点検表に「WordPressのバージョン」「テーマとプラグインの更新日」「使っている部品とその版」を足しておくのも、一つの方法です。

出典（公式情報）

関連する記事

E.P.ラボ
セキュリティ

国家サイバー統括室の不正アクセス対策資料について、ホームページを持つ個人事業主が確かめたいこと

E.P.ラボ
セキュリティ

PHPの脆弱性「PHP2shell」について、ホームページを持つ個人事業主が確かめたいこと

記事の一覧へ

無料ウェビナー無料相談