WordPress 7.1.2公開、重大な脆弱性を修正。対象サイトは即時更新推奨

PR 本ページにはプロモーションが含まれています。

この記事を読むと、WordPress 7.1.2の影響を確認し、安全に更新する手順がわかります。更新作業が不安な方でも、画面のどこを操作するかまで順番に説明するので、この手順に沿って進めれば大丈夫です。

WordPress 7.1.2は2026年9月22日に公開されました。今回は通常の機能追加ではなく、重大度Critical（最も深刻度が高い区分）のセキュリティ脆弱性（攻撃に悪用される弱点）1件を修正するセキュリティリリースです。公式発表では、サイトを直ちに更新するよう推奨されています。

WordPressを運用している企業、制作会社、保守担当者は、対象サイトのバージョンを確認し、更新できるか早急に判断してください。

結論：利用中のサイトは、まずバージョン確認と更新

WordPress 7.1.2の対象となる環境では、更新を先延ばしにする理由がない限り、速やかな適用が基本です。特に、外部からアクセスできる本番サイト（実際に公開しているサイト）や、複数の利用者が管理するサイトは優先度が高くなります。

実際に更新作業をすると、最初の壁は「更新ボタンを押すこと」よりも、バックアップの有無と、テーマやプラグイン（機能を追加する部品）の互換性確認です。更新そのものは短時間で終わっても、事前確認を省くと表示崩れやフォーム停止に気づきにくくなります。

更新前にはバックアップ、テーマやプラグインとの互換性確認、更新後の表示確認を行ってください。更新作業を自社で行えない場合は、保守担当者や制作会社に依頼しましょう。

何が修正されたのか

修正されたのは、特定の条件下で、未認証の攻撃者（ログインしていない攻撃者）がページテンプレートの解決処理（表示するテンプレートを選ぶ仕組み）に、不正なローカルPHPファイル（サーバー内に保存されたプログラムファイル）を読み込ませられる問題です。

対象となるのは、有効なテーマのディレクトリ（テーマ用の保存場所）外にある、読み取り可能なローカルPHPファイルです。サーバー環境と有効なテーマの前提条件がそろった場合、単なるファイル読み込みにとどまらず、RCE（リモートコード実行。攻撃者が遠隔からサーバー上の処理を動かすこと）につながる可能性があります。

RCEが成立すると、攻撃者がサーバー上で意図しない処理を実行できる危険があります。ただし、公式情報が示しているのは条件付きの可能性です。すべてのサイトで同じ影響が発生するという意味ではありません。

実際に更新すると、どこでつまずきやすいか

実際の更新では、次のような場面で手が止まりやすくなります。

• 「更新」と「アップグレード」を別の作業だと思い、WordPress本体の更新画面を見落とす
• プラグインだけ更新して、WordPress本体を更新したつもりになる
• 更新後にキャッシュ（ブラウザやサーバーに保存された表示の一時メモ）が残り、古い画面を見てしまう
• バックアップを取ったつもりでも、データベース（記事や設定を保存する場所）だけで、画像やテーマファイルが含まれていない
• 管理画面が表示されることだけを確認し、フォームや決済などの重要機能を確認しない

特に初心者の方が混同しやすいのは、「プラグインの更新」と「WordPress本体の更新」です。今回の脆弱性を修正する中心的な作業は、WordPress本体を7.1.2へ更新することです。

WordPress 7.1.2への更新手順

以下は、一般的なWordPress管理画面から更新する手順です。作業前に、管理者権限（サイト全体を変更できる権限）でログインしてください。

1. 現在のバージョンを確認する

1. WordPressの管理画面にログインします。
2. 左側メニューの「ダッシュボード」をクリックします。
3. 表示された画面で「更新」をクリックします。
4. 「現在のバージョン」や「WordPressの更新状況」を確認します。
5. 7.1.2未満の場合は、更新対象として扱います。

管理画面の右下や「概要」に表示されるバージョン番号から確認できる場合もあります。画面に「最新バージョンです」と表示されても、対象バージョンが7.1.2かどうかを番号で確認してください。

2. 更新前にバックアップを取る

1. レンタルサーバーの管理画面、または契約している保守サービスを開きます。
2. 「バックアップ」「自動バックアップ」「復元」などのメニューを探します。
3. 取得対象に、データベース、WordPress本体、テーマ、プラグイン、アップロード画像が含まれるか確認します。
4. バックアップを実行し、完了日時と保存場所を記録します。
5. 可能なら、バックアップから復元できることも確認します。

バックアップは、何かあったときに戻るための保険です。車のシートベルトに似ていて、普段は意識しませんが、更新に失敗したときに重要になります。無料のバックアップ機能を使える場合もありますが、保存期間や復元範囲はサービスごとに違うため確認してください。

3. テーマとプラグインの状態を確認する

1. 左側メニューの「プラグイン」をクリックします。
2. 有効化されているプラグイン名と、最終更新日を確認します。
3. 独自開発のプラグインや、長期間更新されていないプラグインがあれば一覧にします。
4. 左側メニューの「外観」から「テーマ」をクリックします。
5. 現在有効なテーマ名と、子テーマ（親テーマの変更を安全に引き継ぐ仕組み）の利用状況を確認します。

独自テーマや業務用プラグインを利用している場合は、いきなり本番サイトを更新せず、検証環境（本番と同じ構成で試す場所）で確認するのが安全です。

4. WordPress本体を7.1.2へ更新する

1. 左側メニューの「ダッシュボード」をクリックします。
2. 「更新」をクリックします。
3. WordPress 7.1.2への更新案内が表示されていることを確認します。
4. 「今すぐ更新」または同じ意味の更新ボタンをクリックします。
5. 更新中はブラウザを閉じず、完了画面が表示されるまで待ちます。
6. 完了後、画面に表示されたバージョン番号が7.1.2になっていることを確認します。

更新中に画面が一時的に表示されなくなっても、すぐに何度もボタンを押さないでください。二重実行を避けるため、数分待ってから別のブラウザや管理画面で状態を確認します。

5. 更新後の動作を確認する

1. 管理画面の左上にあるサイト名をクリックし、公開サイトを表示します。
2. トップページ、主要な記事、固定ページが表示されるか確認します。
3. 管理画面に戻り、「外観」からメニューやウィジェットが崩れていないか確認します。
4. お問い合わせフォームでテスト送信を行います。
5. 会員ログイン、予約、決済、資料ダウンロードなど、サイトにとって重要な機能を確認します。
6. 表示が古い場合は、ブラウザの再読み込みを行い、必要に応じてキャッシュを削除します。

実際に使うと、更新直後に一番見落としやすいのがキャッシュです。キャッシュはブラウザの手元メモ帳のようなもので、更新前の画面を一時的に表示することがあります。自分の画面だけでなく、スマートフォンや別のブラウザからも確認すると安心です。

WordPressテーマならLIQUID PRESS

誰でもかんたん！プロ級サイトをサクッと作成できる『Xwrite(エックスライト)』

圧倒的にSEOに強いWPテーマ「ゴールドメディア」

従来のやり方や他の対策との違い

ファイアウォール、アクセス制限、監視などは防御を補助する対策です。一方、今回の対応で中心になるのは、脆弱性を修正したWordPress本体へ更新することです。

従来どおり「バックアップを取ってから管理画面で更新する」方法は変わりません。ただし、今回は通常の機能追加を待つ更新ではなく、セキュリティリリースです。更新の優先度が高い点が大きな違いです。

更新を止めたまま設定変更だけで対応する方法は、サイトの構成やサーバー環境によって有効性が異なります。更新を基本とし、難しい場合に限って一時的な防御策と専門家への相談を組み合わせてください。

サイト管理者が行うこと

• WordPressの現在のバージョンを確認する
• 本番環境のバックアップを取得する
• テーマやプラグインの構成を確認する
• 可能なら検証環境で表示と機能を確認する
• 通常の保守手順から7.1.2への更新を実施する
• ログイン、主要ページ、フォーム、決済など重要な機能を確認する
• 更新日時、担当者、結果を記録する
• 更新できない場合は、理由と対応予定を記録し、保守担当者へ相談する

今回の脆弱性はWordPress本体のセキュリティリリースで修正されていますが、テーマ、プラグイン、PHP（WordPressを動かすプログラム言語）、サーバー設定まで自動的に安全になるわけではありません。周辺ソフトウェアも別途確認してください。

向いている人・向いていない人

すぐに更新を進めるべき人

• 外部公開しているWordPressサイトを運用している人
• 企業サイトや顧客情報を扱うサイトの管理者
• 複数のサイトを管理し、更新漏れを避けたい制作会社
• 保守契約に基づいて緊急対応が必要な担当者
• 標準テーマと一般的なプラグインを中心に構成している人

本番更新前に慎重な検証が必要な人

• 独自テーマや独自プラグインを利用している人
• 更新手順や復旧手順が整備されていない人
• 停止が難しい業務システム上でWordPressを運用している人
• 決済、予約、会員管理など停止時の影響が大きいサイトを運用している人
• 古いPHPやサーバー環境を使っている可能性がある人

「慎重に検証する」と「更新を無期限に延期する」は別です。影響範囲を確認しながら、更新日時と担当者を決めて対応してください。

料金と利用方法

WordPress本体の更新自体に追加料金がかからない場合でも、バックアップ、検証環境での確認、更新後テスト、障害時の復旧を外部業者へ依頼すると作業費が発生することがあります。見積もり時は、どこまでの作業が含まれるか確認してください。

更新できない場合の一時対応

すぐに更新できない場合は、まずサイトの公開状況と影響範囲を確認します。そのうえで、管理画面へのアクセス制限、不要なユーザー権限の停止、ファイアウォールの設定確認、ログ監視などを組み合わせます。

これらは一時的な防御策であり、脆弱性そのものを修正する対応ではありません。公式が即時更新を推奨しているため、更新予定日を決め、保守担当者や制作会社に相談してください。

よくある質問

WordPress 7.1.2はいつ公開されましたか？

2026年9月22日に公開されました。

どのような脆弱性ですか？

特定の条件下で、未認証の攻撃者が、有効なテーマのディレクトリ外にある読み取り可能なローカルPHPファイルを、ページテンプレート解決処理に読み込ませられる問題です。

必ずRCEが発生するのでしょうか？

必ず発生するわけではありません。サーバー環境と有効なテーマの前提条件が満たされた場合に、RCE（遠隔からサーバー上の処理を実行すること）につながる可能性があります。

プラグインを更新すれば対応できますか？

今回の中心的な修正対象はWordPress本体です。プラグイン更新だけでは、WordPress本体の脆弱性を修正したことになりません。

更新後に画面が変わりません。失敗したのでしょうか？

キャッシュが残っている可能性があります。ブラウザを再読み込みし、別のブラウザやスマートフォンでも確認してください。それでも不具合がある場合は、テーマやプラグインの互換性を確認します。

更新できない場合はどうすればよいですか？

更新前のバックアップと影響確認を行ったうえで、保守担当者や制作会社へ相談してください。公式はセキュリティリリースのため、サイトを直ちに更新するよう推奨しています。

まとめ：今日からできること

WordPress 7.1.2は、重大度Criticalの脆弱性を修正するセキュリティリリースです。すべてのサイトで同じ影響が出るとは限りませんが、未更新のまま放置するのは避けてください。

1. 今日、管理画面の「ダッシュボード」から「更新」を開き、現在のバージョンを確認する
2. 更新前に、データベースとファイルを含むバックアップを取る
3. テーマやプラグインの構成を確認する
4. 可能なら検証環境で確認し、問題がなければ7.1.2へ更新する
5. 更新後に、表示、ログイン、フォーム、決済などを確認する
6. 自社で難しい場合は、今日中に保守担当者へ相談する

最初の一歩は、管理画面でバージョン番号を見ることです。 まず現在の状態を確認し、更新日時と担当者を決めましょう。更新を先延ばしにするのではなく、バックアップと確認を挟みながら、できるだけ早く7.1.2を適用してください。

関連記事

WordPressのバックアップ方法｜プラグインと手動の2パターン

参考・公式情報

WordPress公式発表、WordPress公式のセキュリティ情報を確認してください。

📦 Amazonで関連商品を探す

WordPress 7.1.2公開、重大な脆弱性を修正。対象サイトは即時更新推奨をAmazonで探す →

WordPressテーマならLIQUID PRESS

誰でもかんたん！プロ級サイトをサクッと作成できる『Xwrite(エックスライト)』

圧倒的にSEOに強いWPテーマ「ゴールドメディア」