WordPress は 10 月 28 日にセキュリティリリース 7.1.4 を公開し、すぐに更新するよう勧めています。最も深刻なのは、コアのアップグレード処理における競合状態でリモートコード実行につながるもので、CVE-2026-119977 として追跡されています。NVD の説明によると、WordPress 4.7 から 7.1.3 では、パッケージ全体を使うコアのアップグレード時に、推測可能で Web からアクセスできるステージング用パスが使われるため、認証されていない攻撃者がアップグレード中の時間帯にサーバー上でコードを実行できます。CVSS 3.1 は 8.1（攻撃の複雑さは「高」）です。11 月 3 日、CISA はこれを既知の悪用された脆弱性（KEV）カタログに追加し、連邦機関にはわずか 3 日（11 月 6 日まで）の期限を設け、フォレンジックによる調査が必要と記しました。
7.1.4 で修正されたほかの問題
- 複数の蓄積型 XSS：ブロックのマークアップ、Interactivity API、カスタマイザーの選択的リフレッシュ、カテゴリーブロック、プレイリストと画像ブロック、コメントのページ送りブロック、さらに細工されたユーザー名と個人データ削除リクエスト。多くは投稿者または編集者以上の権限が必要です。
- 未公開のカスタマイザーの変更セットを、認証されていない訪問者が見つけられる問題と、コメントをモデレートするカスタム権限グループが、編集できない投稿のメモを読んだり編集したりできる問題。
- eMudhra の証明書問題を受けて、WordPress が同梱するルート証明書バンドル（WordPress 自身の HTTPS リクエストに使われる）が更新されました。
安全かどうかを確かめる方法
- バージョンを確認します：ダッシュボード → 更新、または WP-CLI で
wp core version。最新は 7.1.4 です。古いブランチのサイトについては、WordPress のバージョン API に 7.0.8、6.9.11、6.8.12 から 4.7.39 までのバックポートが載っています。7.1.3 や 7.0.7 などの旧版はすでに安全でないと表示され、WordPress は積極的にサポートされるのは最新版だけだと念を押しています。 - WordPress によると、自動バックグラウンド更新が有効なサイトは自動で更新されますが、思い込みは禁物です。
wp-config.phpで自動更新を無効にしている場合（たとえばAUTOMATIC_UPDATER_DISABLED）や、ファイルの権限で書き込みができない場合は、手動で更新する必要があります。Debian のパッケージで WordPress を動かしているなら、Debian が 10 月 29 日に DSA-6596-1 を出しています。 - CISA がフォレンジックによる調査を求めている以上、更新後にもう一度確認しましょう。見覚えのない管理者アカウントがないか、サイトのルートや
wp-content（アップグレード用ファイルが置かれるwp-content/upgrade/を含む）に見慣れない .php ファイルがないかを確かめます。
同じ時期の PHP の脆弱性もあわせて確認を
WordPress は PHP の上で動いています。10 月下旬の php2shell 脆弱性はすでに実際に悪用され、カーネルの脆弱性と連鎖させて root を奪えることはこちらの記事で説明しています。WordPress コアで前回悪用が確認されたのは 9 月の CVE-2026-87902 で、こちらで取り上げました。自前で運用する手順はVPS で WordPress サイトを構築するを参照し、アップグレード前にはバックアップ方法のいずれかでコピーを残しておきましょう。