いま安全な版、危ない版

2026-09-22 危ない

WordPress 7.1.2: ログインなしで乗っ取りまで行ける穴の修正

関係する人: WordPress を使っている全員。7.1.1 以下（7.0.5 以下、6.9.8 以下なども）で動いているサイト

ログインしていない第三者が、テンプレートの読み込みを通じてサーバー内の PHP ファイルを実行させられる欠陥です。サーバーとテーマの条件がそろうと、サイトを丸ごと取られます。

深刻度は critical。9/22 に 7.1.2 として、この 1 件だけの緊急リリースが出ました。古い系列にも同じ修正が戻し入れられています（4.7 まで）。

本体の小さな更新は初期設定で自動で当たります。9/25 の時点で 7.1 のままのサイトは、自動更新が止まっています。

今日やること 管理画面の「更新」を開いて 7.1.2 にする。そのあと、自動更新が止まっていた理由（設定・サーバー・cron）まで直す。

WordPress.org のリリース記事 · CVE-2026-87902

X に投稿する文をコピー134 字

2026-09-17 注意

WordPress 7.1.1: 安全修正 11 件を含む定期リリース

関係する人: 7.1 で動いているサイト。古い系列は 7.0.5 / 6.9.8 / 6.8.9 に同じ修正が入っています

ログインしていない人がコメント経由でスクリプトを仕込める穴（承認が要る）、細工した URL で未使用テーマを入れさせられる穴など、11 件の安全修正です。

ひとつひとつは乗っ取りに直結しませんが、組み合わせると被害が広がる種類のものです。

本体 17 件、ブロックエディター 19 件の不具合修正も一緒に入っています。

今日やること 7.1.2 に上げれば、この修正も一緒に入ります。7.1.1 で止まっているなら 7.1.2 へ。

WordPress.org のリリース記事

X に投稿する文をコピー136 字

2026-07-17 危ない

wp2shell: 本体だけでログインなしに乗っ取れる 2 つの欠陥

関係する人: 7.0.2 / 6.9.5 / 6.8.6 より前で動いているサイト。プラグインを入れていなくても対象

本体の 2 つの欠陥を組み合わせると、ログインなしでコードを実行できました。深刻度は 10 点満点で 9.8。

運営元は強制の自動更新をかけ、Cloudflare は無料プランにも防御ルールを配りました。翌日には攻撃コードが出回り、自動化された攻撃が数万件観測されています。

IPA は 7/22、JPCERT/CC は 7/23 に注意喚起を出しています。

今日やること 本体の版を見る。7.0.2、6.9.5、6.8.6 より前なら、今の最新（表の一番上）まで上げる。改ざんの跡が無いか、見覚えのないプラグインと管理者を確かめる。

この夏、WordPress で何が起きたか（記事）

X に投稿する文をコピー117 字

今日やること

管理画面の「更新」を開き、本体が 7.1.4 になっているか見る。なっていなければ「今すぐ更新」。本体の小さな更新は初期設定で自動で当たるので、古いままなら自動更新が止まっています。そこまで直すのが本当の対応です。

この版が動く最低ラインは PHP 7.4、MySQL 5.5.5。最低ラインと安全ラインは別で、PHP と MySQL の安全ラインは次の表です。

今日やること

WordPress の管理画面 → ツール → サイトヘルス → 情報 → サーバー で PHP の版が分かります。赤の系列なら、レンタルサーバーのコントロールパネルで PHP の版を上げてください。多くのサーバーは数クリックで変えられ、戻すこともできます。

今日やること

サイトヘルス → 情報 → データベース に「サーバーのバージョン」があります。赤なら、サーバー会社に「データベースの版を上げられますか」と聞くか、新しいプランやサーバーへの引っ越しを考える時期です。

今日やること

管理画面 → プラグイン で版を見て、「危ない版」に当たるものは更新する。使っていないプラグインは、更新するより消す方が確実です。