SOURCE CHECK
WordPress.orgの公式ニュース（米国時間2026年10月28日付、日本時間10月29日2時13分ごろ公開）と、修正一覧を載せた公式ドキュメント（HelpHub）、リリース一覧で確認しています。件数はHelpHubの「22件」を使っています。日本語の公式サイト（ja.wordpress.org）には、確認時点で7.1.4の翻訳記事はまだありません。セキュリティ企業の分析やX投稿は、公式情報と区別して載せています。
WordPress 7.1.4は、脆弱性22件を修正したセキュリティリリースです。管理画面の右下などに表示されるバージョンが「7.1.4」なら、更新は済んでいます。7.0や6.x系を使っている場合は、7.0.8・6.9.11などの対応版になっていれば修正済みです。
- WordPressの管理画面にログインし、画面の右下に「バージョン 7.1.4」と出ているか見る
- 出ていなければ、［ダッシュボード］→［更新］を開く
- 「最新バージョンの WordPress をお使いです。」なら済み。新しいバージョンの案内が出ていたら、バックアップを取ってから更新する
自動更新にしているサイトでも、本当に上がったかは表示で確かめます。詳しい手順は03、自動更新の確かめ方は04、更新できないときは05で説明します。
この記事では、WordPress 7.1.4で直った脆弱性の中身、自分のサイトが更新済みかを確かめる方法、自動更新の結果の見方、更新できないときの対処、更新したあとの確認までを、WordPress.orgの公式情報をもとに順番にまとめます。
こんな人におすすめ
- 自動更新にしているけれど、本当に7.1.4になったか不安な人
- 管理画面に「WordPress の新しいバージョンがあります。」と出ている人
- 7.0や6.x系など、古い系列のまま使っている人
- 10月のPHPの脆弱性（PHP2Shell）と同じ話なのか分からない人
01結論：WordPress 7.1.4（旧系列は対応版）なら更新済み
WordPress.orgは米国時間2026年10月28日、WordPress 7.1.4を公開しました。公式ニュースは「セキュリティリリースのため、すぐにサイトを更新することを推奨します」としています。
修正は、古い系列にも提供されています。使っている系列ごとの「このバージョン以降なら修正済み」は次のとおりです（HelpHubの記載をもとに作成）。
| 使っている系列 | このバージョンなら修正済み | その系列が影響を受ける件数（22件のうち） |
|---|---|---|
| 7.1 | 7.1.4 | 22件（7.1.4で修正） |
| 7.0 | 7.0.8 | 22件すべて |
| 6.9 | 6.9.11 | 22件すべて |
| 6.8・6.7 | 6.8.12・6.7.11 | 20件 |
| 6.6 | 6.6.11 | 19件 |
| 6.5・6.4 | 6.5.14・6.4.14 | 17件 |
| 6.3〜5.9 | 6.3.14・6.2.15・6.1.16・6.0.18・5.9.20 | 9件 |
| 5.8〜5.0 | 5.8.19〜5.0.31（系列ごとに別の番号） | 6件 |
| 4.9 | 4.9.35 | 4件 |
| 4.8・4.7 | 4.8.34・4.7.39 | 2件 |
| 4.6以前 | ― | セキュリティ更新の提供なし |
ただし公式は、古い系列への修正を「好意による提供」としたうえで、積極的にサポートされるのは最新版だけと明記しています。古い系列のまま使い続けるより、最新の7.1.4に上げるのが基本です。
リリース一覧のページでは、上の修正版はいずれも2026年10月28日付で公開されています。
出典：WordPress.org ニュース「WordPress 7.1.4」、WordPress.org ドキュメント「Version 7.1.4」（HelpHub）、WordPress.org「Releases」（リリース一覧）
02WordPress 7.1.4で直った脆弱性22件
HelpHubは、WordPress 7.0が「22件すべての脆弱性の影響を受ける」と記載しています。修正の一覧は18項目にまとめて書かれており、公式ニュースではさらに13項目にまとめています。数え方が違うだけで、この記事では件数をHelpHubの「22件」で統一します。
| 種類 | 主な内容 | 公式の表記にある必要な権限 |
|---|---|---|
| 保存型XSS（多数） | ブロックの区切り記号、Interactivity API（ブロックに動きを付ける仕組み）のバインディングやイベント処理、カスタマイザーの部分更新、コメントのページ送り・前後の投稿リンクブロック、カテゴリーブロック、個人データ消去リクエストの画面など | 多くは「Contributor+（寄稿者以上）」。ほかに「Author+（投稿者以上）」「Editor+（編集者以上）」 |
| 更新処理中の競合状態 | WordPress本体の更新中に起きる競合状態が、リモートコード実行（サーバー上で命令を動かされること）につながるおそれ | 公式の一覧に権限の表記なし |
| 情報の漏えい | 公開前のカスタマイザーの変更が、ログインしていない訪問者に見えてしまう | ログイン不要 |
| 権限の不備 | コメント管理ができる独自の権限で、編集できない投稿の「ノート」を読む・編集する・削除するができてしまう | コメント管理ができる独自の権限 |
| DoS（サービス妨害） | Interactivity API のバインディングに関するもの（保存型XSSと同じ項目に記載） | Contributor+ |
| その他・強化 | Interactivity API で object 要素に管理画面を読み込ませる問題（Contributor+）、投稿内容が Script Module のデータを上書きできる問題、マルチサイトのユーザー一覧でのユーザー名の扱い、画像・プレイリストブロックの処理、同梱ルート証明書の更新（eMudhra の失効に伴うもの） | 項目による |
保存型XSSは、投稿などに仕込まれた命令が保存され、管理者などがその画面を開いたときに動いてしまう問題です。今回の多くは「寄稿者以上」のアカウントが必要と書かれています。一般に、自分ひとりで書いている個人ブログでは影響を受けにくい項目が多いといえますが、公式は個々のサイトの危険度までは述べていません。
注意したいのは更新処理中の競合状態です。公式ニュースは「アップグレードの間にリモートコード実行につながる弱点」と説明しています。更新している最中に起きうる、条件付きの問題です。
なお、今回の脆弱性が実際の攻撃に使われたという記載は、公式ニュースとHelpHubにはありません。
出典：WordPress.org ドキュメント「Version 7.1.4」（HelpHub）、WordPress.org ニュース「WordPress 7.1.4」
WordPress向けのセキュリティ企業Patchstackは、この更新処理中の問題を、アカウントがなくても狙える可能性があるとして、同社の評価でCVSSの値を9（10が最大の、深刻度の目安）としています。一方で、更新が実際に動いている数秒の間を狙う必要があるため、「実際に悪用するのは現実的ではない」とも説明しています。数値だけを見て慌てる必要はありませんが、修正版に更新しておくことが前提です。
出典：Patchstack「WordPress 7.1.4 Security Release」、Patchstack 脆弱性データベース（いずれも同社の独自の分析・評価）
公式ニュースでは、報告者の中に「Anthropic」（AI「Claude」の開発元）の名前もあります。AIを使った脆弱性の発見は、Chromeの更新でも見られました（Chrome 156のセキュリティ更新の記事）。
Xでも、自動更新が適用されたかの確認を呼びかける投稿が出ています。
03自分のWordPressのバージョンを確認する方法
今のバージョンは、WordPressの管理画面で確かめられます。どれか1つで分かります。
管理画面の右下を見る
管理画面のどのページでも、いちばん下の右側に「バージョン 7.1.4」のように表示されます。ここが「7.1.4」なら更新は済んでいます。「バージョン 7.1.4 を入手する」と出ている場合は、まだ更新されていません。
［ダッシュボード］→［更新］を開く
- 管理画面の左のメニューから［ダッシュボード］→［更新］を選びます。
- 「最新バージョンの WordPress をお使いです。」と出ていれば最新です。
- 「WordPress の新しいバージョンがあります。」と出ていれば、まだ更新されていません。05の手順で、バックアップを取ってから更新します。
この画面には「最終チェック日時」も表示されます。横の「再確認してください。」を押すと、新しいバージョンがあるかを確かめ直せます。
「WordPress について」を開く
管理画面の左上のWordPressのロゴにマウスを合わせ、［WordPress について］を選ぶと、使っているバージョンの紹介ページが開きます。
旧系列（7.0・6.x系など）を使っている場合は、01の表の修正版になっているかを見ます。たとえば6.9系なら「6.9.11」です。
出典：WordPress.org「Updating WordPress」、WordPress.org ドキュメント「Version 7.1.4」（HelpHub）
WordPressテーマの開発者からも、更新されているかの確認を呼びかける投稿が出ています。
04自動更新は済んだ？結果の確かめ方
公式ニュースは「自動バックグラウンド更新に対応しているサイトでは、更新が自動で始まる」としています。7.1.4のような小さな番号の更新（メンテナンス・セキュリティリリース）は、多くのサイトで初期設定のまま自動更新されます。
ただし、自動更新が「始まる」ことと「終わった」ことは別です。次の3つで確かめます。
| 見る場所 | 表示・内容 | 判断 |
|---|---|---|
| 管理画面の右下 | 「バージョン 7.1.4」 | 7.1.4なら済み |
| ［ダッシュボード］→［更新］の自動更新の欄 | 「このサイトは WordPress のメンテナンスリリースとセキュリティリリースのみで自動的に最新の状態に保たれます。」など | 自動更新が有効。「このサイトは新しいバージョンの WordPress の自動更新を受け取りません。」なら手動で更新する |
| 管理者のメール | 件名「[サイト名] WordPress 7.1.4 へのサイト更新が完了しました」 | 届いていれば自動更新は完了。届かない設定のサイトもあるので、最後はバージョン表示で確認 |
自動更新は、サイトの設定ファイル（wp-config.php）などで止められている場合があります。WordPress.orgは、メンテナンスとセキュリティの自動更新を止めることを「強く推奨しない」としています。自分で止めた覚えがない場合は、サイトを作った人やサーバー会社に確認しましょう。
サーバー会社の管理画面に、WordPressの自動更新の設定があるサービスもあります。その場合は、そちらの設定も合わせて見ておきます（設定の場所は会社ごとに違います）。
出典：WordPress.org ニュース「WordPress 7.1.4」、WordPress.org「Updating WordPress」、WordPress Developer Resources「Upgrading WordPress」
05WordPressのアップデートができないときの対処
WordPress.orgの更新ガイドに沿って、よくある場面を表にまとめました。上から順に確かめます。
| 症状 | 考えられること・やること |
|---|---|
| 更新の前 | まずサイトのファイルとデータベースをバックアップする（公式も更新前のバックアップを勧めている） |
| ［更新］画面に新しいバージョンが出ている | 画面のボタン（「今すぐ更新」など）を押す。画面の案内どおり、完了まで数分かかることがあり、途中でページを離れると完了しないことがある |
| FTPの接続情報を求められる | サーバー上のファイルの持ち主（権限）の関係で、WordPressが直接書き換えられない状態。分からなければサーバー会社やサイトの管理者に相談する |
| 「別の更新が現在進行中です。」と出る | 自動更新などが動いている途中の可能性。時間をおいてから、もう一度［更新］画面を開く |
| 「現在メンテナンス中のため、しばらくの間ご利用いただけません。」が消えない | 更新中はメンテナンス表示になり、通常は完了後に解除される。失敗の案内が残る場合、公式はFTPでWordPressのフォルダーにある .maintenance ファイルを削除するよう案内している |
| 何度やっても失敗する | 公式の手動更新の手順で入れ直すか、サーバー会社・制作会社に依頼する |
公式のガイドによると、ワンクリックの更新は多くのサーバーで動き、うまくいかない場合はファイルの権限の問題であることが多いとされています。
サーバーの設定を自分で管理している場合、Patchstackは、更新用の一時フォルダー（wp-content/upgrade/）を外から見られないようにする設定も勧めています。これはセキュリティ企業の推奨で、公式の手順ではありません。レンタルサーバーを使っている場合は、自分で設定を変える前に、サーバー会社の案内を確認してください。
出典：WordPress.org「Updating WordPress」、WordPress Developer Resources「Upgrading WordPress」、Patchstack「WordPress 7.1.4 Security Release」（セキュリティ企業の分析）
06更新したあとに確かめること
- ☑ 管理画面の右下が「バージョン 7.1.4」（または旧系列の修正版）になっている
- ☑ サイトのトップページと記事ページが、いつもどおり表示される
- ☑ 管理画面にログインでき、投稿の編集画面が開ける
- ☑ お問い合わせフォームなど、使っている機能が動く
- ☑ 寄稿者・投稿者などのアカウントを置いている場合は、使っていないアカウントが残っていないか見る
確認する項目は一般的な例です。サイトで使っている機能に合わせて足してください。
表示が崩れたり、エラーが出たりした場合、公式のガイドは、新しいバージョンに対応していない古いプラグインが原因の可能性があるとして、WordPressに最初から入っていないプラグインをいったんすべて無効にし、1つずつ有効に戻す方法を案内しています。
また、今回の修正の多くは「寄稿者以上」のアカウントが必要なものでした。一般に、ほかの人にアカウントを渡しているサイトほど、使っていないアカウントの整理が役に立ちます。
出典：WordPress Developer Resources「Upgrading WordPress」、WordPress.org ドキュメント「Version 7.1.4」（HelpHub）
07PHPの脆弱性（PHP2Shell）とは別の話
10月21日にWordPress.orgが案内したPHPの脆弱性は、WordPressを動かすサーバー側のプログラム（PHP）の問題で、今回のWordPress 7.1.4とは別のものです。WordPressを7.1.4にしても、PHP側の問題は直りません。
PHPのバージョンの確かめ方やサーバー会社への問い合わせ方は、WordPressのPHP脆弱性を確認する方法の記事にまとめています。筆者がこの件でWordPressを使い続けると決めた理由は、「PHPの脆弱性を知った夜、WordPressを続ける理由」に書いています。
08よくある質問
自動更新にしていれば、何もしなくていいですか？
自動更新に対応しているサイトでは、更新は自動で始まります。ただし、終わったかどうかは管理画面の右下の「バージョン 7.1.4」で確かめてください。
7.0や6.x系のままでも大丈夫ですか？
7.0.8・6.9.11など、系列ごとの修正版になっていれば今回の修正は入っています。ただし公式が積極的にサポートしているのは最新版だけなので、7.1.4に上げるのが基本です。
ひとりで書いている個人ブログでも、急いだほうがいいですか？
修正の多くは寄稿者以上のアカウントが必要なものですが、更新処理中の問題のように、権限の表記がない項目もあります。公式は「すぐに更新」を推奨しているので、早めに更新しておきましょう。
更新したら表示が崩れました
公式のガイドは、WordPressに最初から入っていないプラグインをいったんすべて無効にし、1つずつ有効に戻して原因を探す方法を案内しています。更新前のバックアップがあれば、元に戻すこともできます。
日本語の公式発表はありますか？
2026年10月29日 8時15分（日本時間）時点では、日本語の公式サイト（ja.wordpress.org）に7.1.4の翻訳記事は出ていません。英語の公式ニュースとHelpHubで確認できます。
次の更新はいつですか？
公式ニュースによると、7.1.4は短い周期のリリースで、次の大きな更新（7.2）は12月8日に予定されています。
09まとめ
- WordPress 7.1.4は、脆弱性22件（HelpHubの件数）を修正したセキュリティリリースです。公式は「すぐに更新」を推奨しています。
- 管理画面の右下が「バージョン 7.1.4」なら更新済み。旧系列は7.0.8・6.9.11などの修正版になっていれば修正済みです。
- 自動更新は「始まる」だけでなく「終わった」かを、バージョン表示・［更新］画面・通知メールで確かめます。
- 更新できないときは、バックアップ→ファイルの権限→メンテナンス表示→手動更新の順に確かめます。
- 10月のPHPの脆弱性（PHP2Shell）とは別の話です。PHPはサーバー側で確認します。
更新履歴：2026年10月29日 初版（2026年10月29日 8時15分（日本時間）時点の公式情報）。日本語の公式発表など、公式の情報が更新されたら追記します。
参考 引用元・公式情報
確認日：2026年10月29日（日本時間）
- WordPress.org ニュース「WordPress 7.1.4」（2026年10月28日）
公開日、すぐに更新する推奨、更新方法（ダッシュボードの［更新］）、自動バックグラウンド更新、修正の一覧（13項目）、報告者、旧系列への提供と「最新版だけを積極的にサポート」、次のメジャー版7.2（12月8日予定） - WordPress.org ドキュメント「Version 7.1.4」（HelpHub）
修正一覧（18項目）と必要な権限の表記、22件という件数、系列ごとの影響件数と修正版、4.6以前は提供なし - WordPress.org「Releases」
7.1.4と各系列の修正版（7.0.8〜4.7.39）が2026年10月28日付で公開 - WordPress.org「Updating WordPress」
更新前のバックアップ、［ダッシュボード］→［更新］、ファイルの権限、FTPの接続情報、.maintenance ファイル、手動更新 - WordPress Developer Resources「Upgrading WordPress」
自動バックグラウンド更新の種類と初期設定、停止を強く推奨しないこと、表示が崩れたときのプラグインの確認 - WordPress 日本語（ja.wordpress.org）
2026年10月29日 8:15 時点で7.1.4の翻訳記事なし - Patchstack「WordPress 7.1.4 Security Release」
セキュリティ企業の分析。更新処理中の問題の条件、悪用は現実的ではないとの見方、wp-content/upgrade/ の制限の推奨（公式ではない） - Patchstack 脆弱性データベース
同社の評価（CVSS 9、評価式 AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）、悪用は現実的ではないとの注記
コメント