WordPress 7.1.2がコアの重大な脆弱性を修正：各ブランチの修正バージョンと自サイトの確認方法

2026年9月22日、WordPressは自ら重大（critical severity）と評価したコアの脆弱性を修正するセキュリティリリース7.1.2を公開しました。修正範囲は最新の7.1系から4.7系まで遡り、各ブランチにはそれぞれ対応する修正バージョンがあります。この脆弱性はログインなしでも引き起こせますが、サーバー環境と使用中のテーマの両方の前提条件がそろって初めてリモートコード実行につながる可能性があります。米国時間9月25日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は実際に悪用された証拠に基づき、この脆弱性を既知の悪用された脆弱性（KEV）カタログに追加しました。現在どのブランチを使っているサイトでも、改めてバージョン番号を確認する価値があります。

本記事の内容は2026年9月26日に確認したもので、WordPress.orgの発表文「WordPress 7.1.2 Release」と説明文書「Dashboard screen」、GitHubのセキュリティアドバイザリGHSA-7hp8-65ch-5whp、およびCISAの公告を読んでまとめています。実際にサイトや攻撃手法を検証したものではなく、レンタルサーバーやテーマの購入を勧めるものでもなく、これらの文書に書かれていること・書かれていないことを整理しただけです。

9月22日に何が修正されたのか：条件付きのコア脆弱性

WordPress.orgは2026年9月22日に「WordPress 7.1.2 Release」を公開し、冒頭で「This security release features a fix for a critical severity security vulnerability.」（このセキュリティリリースは重大な深刻度のセキュリティ脆弱性の修正を含んでいます）と述べ、続けて「Because this is a security release, it is recommended that you update your sites immediately.」（セキュリティリリースであるため、直ちにサイトを更新することが推奨されます）と書いています。使われているのは「推奨」であって「義務」ではありません。

発表文によると、認証を受けていない、ログイン不要の攻撃者が特定の条件を満たした場合にこの問題を引き起こす可能性があります。サーバー環境と使用中のテーマの両方の前提条件がそろえば、リモートコード実行に「つながる可能性がある（can lead to）」としており、必ず起きるわけではありません。GHSAはさらに2種類のサーバー環境を挙げており、公式イメージまたはデフォルト設定（そのうち一つは特定のPHPバージョンに限定）ではすでにサーバー側の前提条件を満たしているとしています。攻撃手法と環境の詳細はここでは扱いません。

この脆弱性には正式名称が2つあり、並記されています。GitHubのセキュリティアドバイザリGHSA-7hp8-65ch-5whpは「Unauthenticated path traversal in page-template resolution leading to conditional RCE」（ページテンプレート解決における未認証のパストラバーサルによる条件付きリモートコード実行）と命名し、CISAの命名は「WordPress Core Remote File Inclusion Vulnerability」（WordPressコアのリモートファイルインクルージョン脆弱性）です。深刻度Critical、CVSS 4.0の総合スコア9.2はGHSA自身の評価であり、両者が共通して示すスコアではありません。

影響を受けるバージョンと各ブランチの修正版

GHSAの影響を受けるバージョン欄はブランチごとに記載されており、最新の7.1系（7.1.0～7.1.1）から6.7系、6.6系などの古いブランチまで並び、最も古いものは4.7系（4.7.0～4.7.36）です。修正バージョン欄は影響を受ける欄と1行ずつ対応しています。7.1系、7.0系、6.9系、6.8系のバージョン番号は下の表にまとめており、それ以外のブランチはGHSAのブランチ別表を参照してください。読者が確認すべきは自分の使っているブランチの修正版であり、一律に7.1.2を入れることではありません。

7.1.1も影響を受ける範囲に含まれており、すでに7.1.1に更新済みのサイトでも、もう一度更新する必要があります。発表文には、好意（as a courtesy）として、現在もセキュリティ修正を受けられるすべてのブランチまで今回の修正を遡って適用したとあり、括弧内には「currently through 4.7」（現時点では4.7系まで）と書かれています。

発表文の同じ段落では、積極的にサポートされているのは最新バージョンのWordPressのみであるとも注意しています。旧ブランチが今回の修正を受け取ったのは好意による遡及適用であり、そのブランチが引き続き積極的にサポートされていることを意味しません。4.7より前のバージョンはGHSAの影響を受けるバージョン表に載っていませんが、それは表に記載がないだけで、これらのバージョンが影響を受けないという意味ではありません。

自分のサイトを確認する方法：3つの手順

1つ目の手順はバージョン番号の確認です。管理画面（Dashboard）のホーム画面には、デフォルトでAt a Glanceウィジェットが表示されます。WordPress.orgの説明文書によると、このウィジェットの下部にサイトが実行中のWordPressバージョンが表示されます（ウィジェットが非表示になっている場合は、Screen Optionsパネルでチェックを入れれば戻せます）。このバージョン番号を上の表やGHSAのページと照らし合わせ、自分のブランチの修正版になっているか確認してください。まだ修正版でない場合、発表文に書かれている更新方法は、管理画面に入り「Updates」をクリックし、続けて「Update Now」をクリックすることです。WordPress.orgから7.1.2を直接ダウンロードしてインストールすることもできます。

2つ目の手順は、自動更新がすでに完了していると思い込まないことです。発表文には「If you have sites that support automatic background updates, the update process will begin automatically.」（自動バックグラウンド更新に対応しているサイトでは、更新プロセスが自動的に開始されます）とあり、使われているのは「開始される」であって「完了した」ではありません。更新通知が来たかどうかだけで判断せず、バージョン番号を見て確認することをおすすめします。

3つ目の手順として、サイトの運用を委託していたり、保守を依頼している相手がいる場合は、その担当者に更新後のバージョン番号を報告してもらうとよいでしょう。これは編集部からの提案であり、WordPressの文書に書かれているやり方ではありません。

更新以外にも、サイトの日常的な保守を普段整理できていない場合は、ウェブサイト保守ですること：バックアップ、更新、障害報告の日常運用が参考になります。

「悪用された」が意味すること、意味しないこと

CISAの既知の悪用された脆弱性（KEV）カタログは、CISAが実際に悪用された証拠に基づいて維持しているリストです。米国時間9月25日、CISAはこの脆弱性をKEVカタログに追加し、「WordPress Core Remote File Inclusion Vulnerability」と命名しました。これはGHSAの名称と並記されるものであり、置き換えるものではありません。

CISAの公告には、関連する指令が米国連邦文民行政機関（FCEB）に対し、高リスクの脆弱性を優先的かつ迅速に修正するよう求めていること、そしてそれがこれらの機関にのみ適用されることが明記されています。それ以外のすべての組織に対しては、CISAはリスクに基づく脆弱性管理を行い、KEVカタログ内の脆弱性の修正を優先することを推奨しているだけであり、台湾のサイト管理者を拘束するものではありません。

CISAの公告には被害件数や被害地域、攻撃者の身元は書かれておらず、実際に悪用された証拠に基づく判断だとしか書かれていません。WordPressの9月22日の発表文とGHSAの公告のいずれにも、この脆弱性がすでに悪用されたという記載はなく、悪用されたという判断はCISAによるものです。

まだ分かっていないこと：文書に書かれていないことを勝手に補わない

本記事が引用している4つの文書はいずれも台湾について触れていません。これは文書に書かれていないというだけであり、逆に台湾が影響を受けていないと言うことはできません。

GHSAのページには更新以外の暫定的な緩和策は挙げられていません。テーマを変更する、ディレクトリを削除する、サーバー設定を変更するといった代替策はWordPressが提示しているものではなく、修正するには更新するしかありません。

発表文には自動バックグラウンド更新によってすでに更新を完了したサイトがどれだけあるかは書かれておらず、ここでもその数字はありません。この脆弱性が関わるのはWordPressコア（Core）であり、発表文、GHSA、CISAの公告のいずれもこの脆弱性についてプラグインには触れていません。セキュリティプラグインを入れているから大丈夫とは言えません。

最新の状況を自分で確認したい場合は、WordPress.orgのニュースページにさらに新しいセキュリティリリースがないか、GHSA-7hp8-65ch-5whpの公告に更新がないかを直接確認してください。WordPressが今後7.1.2より新しいバージョンを公開した場合は、その新しいバージョンに従ってインストールしてください。

2026年テクノロジーニュースまとめ：ハードウェア、プラットフォーム、通信、法規制の要点

EUサイバーレジリエンス法の通報義務が始動：9月11日から誰がどれだけ早く通報するのか

• テクノロジー・業界
• テックニュース