今週（2026年7月20日〜7月26日）のWordPressに関する最新情報を、葛飾区の宮崎真一（私）が「実務でどう活かすか」の視点を添えてお届けします。
📢 WordPress公式ニュース
WordPress 7.1のベータは、7月22日にBeta 3が公開されました。7月15日のBeta 1から毎週の公開が続いており、リリース候補（RC）フェーズは8月5日から、正式リリースは8月19日の予定です。（参照：wordpress.org/news/）
ベータ段階での主な内容は、前週から引き続きレスポンシブスタイリングと擬似状態（ホバー・フォーカス・アクティブ）のエディタ対応です。これまでカスタムCSSで書いていた状態別の見た目を、エディタのコントロールから指定できるようになります。
メディア周りの地味な改善も入っています。長尺のアニメーションGIFのアップロードが止まらなくなったこと、EXIFの回転情報を持つ画像が正しく処理されるようになったこと、SafariでHEIC画像を1枚アップロードすると2件登録されてしまう不具合の解消などです。日々の更新作業で「なぜかうまくいかない」と感じていた部分が、静かに直っています。
ブロックテーマではエディタのiframe化が強制されます。テーマ側の実装によっては編集画面の見え方が変わる可能性があるため、RC入り前のこの時期に一度確認しておくと安心です。
▶ 宮崎真一の視点
私はこの週のニュースを「派手さはないが、更新担当者がいちばん助かる回」と受け止めました。HEICの二重登録やEXIF回転は、写真を扱う業種のサイトでは地味に手間を生んでいた問題です。こうした改善は数字に直結しないように見えますが、更新のハードルが下がれば更新頻度が上がり、更新頻度が上がれば検索での評価にも効いてきます。SEO検定1級の学習でも扱う考え方ですが、コンテンツの鮮度は「やる気」ではなく「やりやすさ」で決まります。8月5日のRC入りまでに、ステージング環境で編集画面を一度開いておいてください。
🔌 プラグイン・テーマ情報
Yoast SEO 28.1が7月21日にリリースされました。一括編集（Bulk editor）画面が刷新され、検索とステータスによる絞り込みができるようになっています。投稿・固定ページ・カスタム投稿タイプをまたいで、タイトルとメタディスクリプションをまとめて点検・修正できる形です。（参照：developer.yoast.com/changelog/）
WooCommerceは10.9系の改善が続いています。Store APIがチェックアウト開始直後に下書き注文を作らず、購入完了に近いタイミングまで生成を遅らせる仕様変更に加え、ショップページや管理画面のクエリ数削減、HPOS注文クエリのキャッシュ事前読み込みが入りました。次のメジャーとなる11.0も視野に入ってきています。
プラグインの脆弱性報告は今週も多数ありました。Patchstackからは、テーマのカスタマイザー拡張として広く同梱されているKirkiのアクセス制御不備（CVE-2026-57727）が報告されています。ご自身で入れた覚えがなくても、テーマ経由で入っている場合があります。
▶ 宮崎真一の視点
Yoastの一括編集刷新は、地味ですが効く更新だと私は見ています。メタディスクリプションの未設定・重複は、順位ではなくクリック率で損をする典型です。おすすめの手順は、まずサーチコンソールで「表示回数は多いのにクリック率が低い」ページを抽出し、そのページだけを新しい一括編集で直すこと。数百ページあっても、効く順に手をつけられます。Kirkiのように「テーマに同梱されていて自覚がない」プラグインは、脆弱性対応で見落としがちです。年に一度でよいので、プラグイン一覧を上から下まで読む時間を取ってみてください。
🔒 セキュリティ情報
先週7月17日に公開された「wp2shell」が、今週は実際の攻撃として広がりました。7月20日には、複数のセキュリティ企業が実環境での悪用を確認したと報告しています。攻撃者はこの脆弱性を使ってウェブシェルを設置しようとしており、放置したサイトは乗っ取られる可能性があります。（参照：patchstack.com）
7月21日には、CVE-2026-63030とCVE-2026-60137の両方が米CISAの「悪用が確認された脆弱性カタログ（KEV）」に登録されました。これは「理論上危ない」ではなく「現に攻撃されている」という公的な確認です。修正版は7.0.2および6.9.5で、WordPress.orgは強制的な自動更新を有効化しています。
7月17日から24日の週だけで、WordPress本体・プラグイン・テーマを合わせて93件の脆弱性が公表されました。うち深刻度クリティカルが6件、高が24件です。プラグインを多く入れているサイトほど、更新の遅れが積み重なりやすい状況です。（参照：wordfence.com）
▶ 宮崎真一の視点
KEV登録は、私にとって「今日やる」の合図です。今週やっていただきたいことは3つあります。第一に、コアが7.0.2以上（6.9系なら6.9.5以上）であることの確認。第二に、7月17日以降にwp-content配下へ見覚えのないPHPファイルが増えていないかの確認。第三に、管理者ユーザーの一覧を開き、作った覚えのないアカウントがないかの確認です。すでに侵入されている場合、更新しただけでは入口が残ります。私が「作って終わりにしない」と申し上げているのは、まさにこの後始末まで含めて運用だと考えているからです。判断に迷われたら、遠慮なくご相談ください。
宮崎真一からのご提案
私は、WordPressサイトの構築からGoogle Analyticsを使った解析、そこから導く改善施策までを一続きでお手伝いしています。今週のように攻撃が実際に広がっている局面では、更新の確認と、侵入されていないかの点検はセットで行う必要があります。ログの見方が分からない、何を確認すればよいか判断がつかない、といったご相談も歓迎します。対応は全国、オンラインで承っており、平日8:00〜16:00にご連絡いただければ順にお返事いたします。詳しくはhttps://shinichi-miyazaki.website/をご覧ください。
まとめ
今週は、7.1のベータが順調に進む一方で、wp2shellの悪用が現実のものとなった週でした。前を向く準備と、足元を固める作業。この2つを同じ熱量でやろうとすると息切れします。まずは足元、つまり更新と点検を今日のうちに終わらせて、7.1の検証は8月に入ってから腰を据える。私は、こうした優先順位づけも含めて、皆さまのサイト運営に伴走してまいります。
ご相談は30分無料診断から。https://lit.link/eltaller（平日8:00〜16:00・オンライン可）