– セキュリティ・脆弱性情報
– WordPress本体において、6.6.9や6.9.10 の修正に加え、セキュリティ・メンテナンスリリース「WordPress 7.1.3」が公開され、格納型XSS、URL処理のDoS、WXRエクスポートのSQLインジェクション、リモートコード実行(CVE-2026-87902)、REST APIバッチ処理の未認証RCE(CVE-2026-63030、CVE-2026-60137)など計7件の重大な脆弱性が修正されている。
– プラグインでは、Rank Math PROのサプライチェーン攻撃によるバックドア混入(CVE-2026-111862) や、Ninja Formsの保存型XSS(CVE-2026-94504 / CVE-2026-90438) のほか、GiveWP、Avada、All in One SEO、User Profile Builder、LearnPressなどで高危険度の脆弱性が多数報告されている。
– PHP本体の脆弱性や詳細な解説については、[PHP公式発表またはTCDテーマの記事]([link removed]) や [WordPressの重大な脆弱性解説note]([link removed]) を参照。
– WordPressコア動向&ロードマップ
– 2026年5月20日にWordPress 7.0、同年8月19日に7.1(Mary Lou)が正式リリースされ、AI連携基盤やAVIF・HEIC・HDR画像のネイティブサポートが追加された。次期メジャーリリースは2026年12月10日頃に予定されている。
– 詳細なロードマップや変更点は [WordPress 7.1 Field Guide]([link removed]) を確認のこと。
– 主要プラグイン&エコシステム動向
– プラグインやコアの脆弱性を突いた自動化された攻撃チェーンにより、管理者のブラウザ経由でスクリプトが実行される被害が観測されている。
– AIエージェントやMCPコネクターなどの新技術スタック導入における認証バイパスや権限昇給リスクが浮き彫りになっており、サードパーティ連携時のセキュリティ監査が重要視されている。
– PHP 8.2系のサポートが2026年31日で終了することに伴い、PHP 8.4系や8.5系への移行計画を立てる時期に入っている。
– 小規模サイトにおける運用ルールの詳細は [MD Designの解説記事]([link removed]) を参照。
– サイト管理者向けアクションインサイト
– 作業を実施する前に、データベース、全ファイル、およびアクセスログのバックアップを確実に取得する。
– WordPressコアを最新の「7.1.3」へ直ちにアップデートし、利用中のプラグインについてもすべて最新の修正版へ更新する。
– 利用中のPHPバージョンを確認し、PHP 8.2〜8.5の環境では最新の修正版(v8.5.12、v8.4.27、v8.3.36、v8.2.35など)へ速やかに更新を行う。
– パッチ適用後、見覚えのない管理者アカウント(隠れ管理者)の新規作成、予期せぬファイルの改ざん、不正なプラグインの設置がないかを徹底的に点検する。
– WAFや仮想パッチの導入、不要なプラグインの削減、権限管理の厳格化を行い、自社対応が難しい場合は専門家や保守サポートサービスへの調査依頼を検討する。
