WordPress 7.1.4 Security Update Patches 22 Vulnerabilities Affecting Millions of Websites
2026/10/29 gbhackers — WordPress が公開したバージョン 7.1.4 は、リモート・コード実行／格納型クロスサイト・スクリプティング (XSS)／情報漏えい／認可処理の不備といった 22件の脆弱性を修正するものである。2026年10月28日に公開された、このセキュリティ・アップデートの修正対象には、コア機能であるコンテンツ・ブロック／管理画面／Customizer／Interactivity API などが含まれており、WordPress はユーザーに対して速やかな適用を推奨している。
公式セキュリティ・アドバイザリでは、リモート・コード実行 (RCE) につながる可能性がある、WordPress コアの更新処理中に発生する競合状態が報告されている。この脆弱性は Umut Bayram によって報告されたものであり、アップグレード処理中に発生する。ただし、公式ドキュメントには悪用に必要な前提条件が記載されておらず、この脆弱性の悪用が実際に行われていたとは明示されていない。
WordPress コアの複数のコンポーネントに存在する格納型 XSS
今回の修正に含まれる、複数の蓄積型クロスサイト・スクリプティング (XSS) の脆弱性は、寄稿者 (Contributor) 以上の権限を持つアカウントから悪用できるものだ。具体的には、ブロック区切り文字に含まれる細工された空白文字／Interactivity API のバインディングに含まれる安全でない JavaScript URL／悪意のイベント・ハンドラーのバインディングに関する問題などである。さらに、API のコンテキスト名前空間とバインディングには、蓄積型 XSS やサービス拒否 (DoS) につながるプロトタイプ汚染の脆弱性も存在する。
Interactivity Router に存在する、アップロードされたテキストファイルの処理に関する脆弱性は、投稿者 (Author) 権限で悪用できる。その他の修正対象には、Customizer の選択的更新 (Selective Refresh)／Categories ブロックの書式文字列インジェクション／Comments Pagination ブロックと Post Navigation Link ブロックのラベル処理に関する問題が含まれており、WordPress は Image ブロックと Playlist ブロックにおける安全でない置換処理も強化している。また、要素 ID の一致によって投稿コンテンツが Script Module のデータを覆い隠す問題も防止している。
個人データの消去リクエストに関連し、編集者 (Editor) 権限で悪用できる格納型 XSS の脆弱性と、マルチサイト環境の Network Users 画面に影響するユーザー名のエスケープ処理に関する問題を、Anthropic は報告している。これらは、以前に公開されたWordPress の蓄積型 XSS に関するセキュリティ修正に続くものだが、今回新たに報告された脆弱性は、影響を受けるコンポーネントや悪用条件が異なる。
今回のアップデートでは、未認証の訪問者が公開されていない Customizer の変更内容を確認できてしまう問題や、コメントのモデレーション権限を持つカスタムロールのユーザーが、自身に編集権限がない投稿に付随するメモを閲覧／編集／削除できる問題も修正された。また、eMudhra の証明書が失効したことを受け、ルート証明書も更新パッケージに追加された。なお、公式ドキュメントでは、個々の脆弱性に対する CVE 識別子や深刻度スコアは示されていない。
今回のコア・アップグレード処理中に発生する RCE 脆弱性は、以前に修正されたWordPress のパス・トラバーサルの脆弱性とは異なる。以前の問題は、特定のサーバ設定とテーマ設定におけるページテンプレートの解決処理に関するものであり、コアの更新処理中に発生する競合状態とは区別する必要がある。
管理者は、「ダッシュボード」→「更新」→「今すぐ更新」から修正版をインストールできる。バックグラウンド更新に対応するサイトでは自動更新される見込みだが、更新が完了したことを確認する必要がある。
WordPress は、バージョン 4.7.39 以前の旧系列向け修正版も公開しているが、積極的なサポートの対象となるのは最新バージョンのみであると強調している。旧系列に提供される修正は、それぞれの系列が影響を受ける脆弱性に応じて異なる。具体的には、WordPress 7.0.8／6.9.11 では 22件すべての脆弱性が修正され、6.8.12／6.7.11 では、それぞれの系列に影響する 20件が修正されている。
管理者は、2026年12月8日に公開予定の WordPress 7.2 まで対応を延期せず、使用している系列に適した修正版を導入する必要がある。
WordPress のセキュリティ・アップデートに関する記事では、バージョン 7.1.4 における 22件の脆弱性の修正が紹介されています。背景として、リモート・コード実行や格納型クロスサイト・スクリプティングなどの多様な不備が内包されており、Web サイトの安全性確保が課題となっています。影響として、不正なコードの実行や情報の漏えいにつながるおそれがあり、迅速な対策を行わない場合にはシステムが危険にさらされます。対応策として、ダッシュボード経由でのアップデートの適用や適切なバージョンの導入が求められます。
You must be logged in to post a comment.