TesujiWordPressは2026年10月28日付で、セキュリティリリースの7.1.4を公開しました。公式はサイトを速やかに更新するよう案内しています。この記事では2026年10月29日時点の告知をもとに、更新対象と、運営者が残しておきたい確認事項を整理します。公式リリース
今回、何が修正されたか
公式告知には、WordPress本体の更新処理中にリモートコード実行につながり得る問題、複数の保存型XSS、未公開のカスタマイザー変更内容の漏えいなどが挙げられています。加えて、eMudhraの失効に伴う同梱ルート証明書の更新も含まれます。問題ごとに成立条件は異なるため、「すべての閲覧者が同じ操作で管理者になれる」といった一括りの説明は避け、詳細を照合してください。公式リリースの修正項目
最初に、対象サイトと更新担当を確認する
次の一覧はTesuji編集上の運用提案です。サイトの数が多い場合も、更新したつもりの環境と、利用者がアクセスする本番環境を対応づけます。
| 確認するもの | 記録の例 |
|---|---|
| 対象サイト | ドメイン、管理画面、ホスティング契約・担当者 |
| 本体 | 更新前の系列・版、更新後の版 |
| 更新方法 | 管理画面、自動更新、管理会社、デプロイ手順 |
| 復旧手段 | DB・ファイルのバックアップ、復元方法 |
| 完了確認 | 適用日時、確認者、主要画面・フォームの結果 |
管理画面では「更新」から操作できます。自動バックグラウンド更新に対応するサイトは自動処理が始まると案内されていますが、各サイトで実際に反映された版を確認するところまでを担当範囲にします。公式の更新手順
バックアップは、データベースとファイルの両方
WordPressの公式ガイドは、通常のサイトを十分に復元するには、データベースとファイルの両方が必要と説明しています。投稿データだけでなく、アップロードした画像、テーマ、プラグイン、設定など、復旧に必要な範囲を確認します。バックアップの公式ガイド
更新前のバックアップを確保し、更新後はトップページ・記事表示・管理画面・問い合わせや購入など、そのサイトで重要な操作を確認することを編集上の確認項目として提案します。侵害が疑われる場合は、単なる更新完了と、調査・復旧の完了を分けて扱います。
旧系列と、プラグイン・テーマの対応も分けて追う
公式は旧系列へのセキュリティ修正のバックポートを案内する一方、積極的なサポートの対象は最新のWordPressであるとしています。旧系列を維持する場合は、その系列に提供された修正と、利用しているプラグイン・テーマの互換性を確認してください。7.1.4の詳細
今回の本体更新で、個別のプラグインやPHPの問題まで一括して修正されるわけではありません。PHPの動作要件も確認し、プラグイン・テーマの情報源は、TesujiのWordPress保守ガイドからたどれます。
確認日：2026年10月29日。版番号やバックポートの提供状況は更新されるため、作業時点の公式告知を確認してください。