今週（2026年7月27日〜8月2日）のWordPressに関する最新情報を、葛飾区の宮崎真一（私）が「実務でどう活かすか」の視点を添えてお届けします。
📢 WordPress公式ニュース
WordPress 7.1のBeta 4が7月29日に公開されました。Beta 3からの修正は100件を超え、細部の詰めが進んでいます。ベータ版は検証用のため、本番サイトへの導入は避け、ステージング環境やローカル環境でお試しください。（参照：wordpress.org/news/）
次はリリース候補（RC）フェーズです。RC1は8月5日、RC2は8月12日、正式リリースは8月19日で、WordCamp USの開催に合わせた日程になっています。RC1以降は機能追加が凍結され、以後は安定性と重要なバグ修正に専念する期間となります。（参照：make.wordpress.org/core/7-1/）
ブロックエディタ側にもいくつか変更が入りました。ローカルなスタイル変更を「グローバルに適用」する際に、どの変更を反映するか選べるレビュー画面が追加されています。またPlaylistブロックとTabsブロックが安定版となり、Galleryブロックにダイナミックモード、アイコンコレクションとカスタムアイコン登録APIも加わりました。
一方で、Unicodeメールアドレス対応は7.1から見送られました。11年の議論を経てコアにマージされた機能でしたが、今回はコミュニティプラグインへ移される形になっています。
なお7.1は、React 18からReact 19への全面アップグレードを含みます。カスタムブロックやReact依存のプラグインを使っているサイトでは、影響範囲の確認が必要です。
▶ 宮崎真一の視点
私がまずお伝えしたいのは、7.1は「見た目の新機能」より足回りの入れ替えが大きい、という点です。React 19への移行は、独自ブロックやページビルダー系プラグインを入れているサイトほど影響を受けやすいところ。RC期間の8月5日〜18日は、ステージング環境で検証するのに適した2週間です。ウェブ解析士として申し上げると、更新の前後でGA4の「ページ表示イベント」やコンバージョン計測が止まっていないかを突き合わせておく。これだけで、原因不明の数字の落ち込みを何日も追いかける事態を避けられます。
🔌 プラグイン・テーマ情報
Yoast SEO 28.1では、一括編集（Bulk editor）画面が刷新されました。検索とステータスによる絞り込みが可能になり、投稿・固定ページ・カスタム投稿タイプをまたいで、タイトルとメタディスクリプションをまとめて点検・修正できるようになっています。（参照：developer.yoast.com/changelog/）
Yoast SEOはElementorの新しいアトミックエディタ（V4）にも対応しました。Elementor V4使用時にキーフレーズのハイライトが効かない不具合が解消されています。Elementorでサイトを組んでいて、Yoastの評価が正しく出ないと感じていた方は、双方を最新版に上げてご確認ください。（参照：yoast.com）
WooCommerceは10.9系の改善が続いています。Store APIがチェックアウト開始直後に下書き注文を作らず、購入完了に近いタイミングまで生成を遅らせる仕様に変わりました。あわせてショップページや管理画面のクエリ数削減、HPOS注文クエリのキャッシュ事前読み込みなども入っています。（参照：developer.woocommerce.com）
▶ 宮崎真一の視点
Yoastの一括編集刷新は、地味ですが効く更新だと私は見ています。SEO検定1級の学習でも扱う基本ですが、メタディスクリプションの未設定・重複はクリック率に直結する取りこぼしです。サーチコンソールで「表示回数は多いのにクリック率が低い」ページを先に抽出し、その一覧だけを新しい一括編集で直す。この順番なら、数百ページあっても優先度の高いところから手をつけられます。WooCommerceの下書き注文の遅延生成は、カゴ落ちの多い店舗ほどデータベースの無駄が減る変更です。表示速度の体感差より先に、まず不要な注文レコードが積み上がっていないかを確認してみてください。
🔒 セキュリティ情報
今週も引き続き、7月17日に公開された「wp2shell」への対応が最優先です。これはWordPressコアの2件の脆弱性、CVE-2026-63030（REST APIのルート解釈の不備）とCVE-2026-60137（WP_QueryにおけるSQLインジェクション）を連鎖させることで、未認証の攻撃者が任意のコードを実行できてしまうというものです。影響を受けるのは6.9.0〜6.9.4および7.0.0〜7.0.1で、修正版は7.0.2および6.9.5です。（参照：wordpress.org/news/）
公開から数時間で実証コードが出回り、実際の攻撃が確認されています。7月21日には両CVEが米CISAの「悪用が確認された脆弱性カタログ（KEV）」に登録されました。WordPress.orgは対象環境へ強制的な自動更新を行っていますが、自動更新を無効化している環境、バージョンを固定している環境では手動対応が必要です。（参照：patchstack.com）
プラグイン側では、Kirkiのアクセス制御不備（CVE-2026-57727）がPatchstackから報告されています。Kirkiはテーマのカスタマイザー拡張として広く同梱されているため、ご自身で入れた覚えがなくてもテーマ経由で入っている場合があります。
▶ 宮崎真一の視点
今週やっていただきたいことは3つに絞れます。第一に、管理画面の「更新」からコアのバージョンが7.0.2以上（または6.9.5以上）であることを確認する。第二に、使用中のテーマにKirkiが同梱されていないかをプラグイン一覧とテーマのフォルダで確認する。第三に、更新後にサーバーのアクセスログとGA4を見て、公開から修正までの間に不審な流入や見覚えのないページが増えていないかを照らし合わせる。私が「作って終わりにしない」体制を大事にしているのは、まさにこの3つ目のためです。脆弱性は直せば終わりですが、直すまでの空白に何が起きたかは、記録を見ないと分かりません。
宮崎真一からのご提案
私は、WordPressサイトの構築からGoogle Analyticsを使った解析、そこから導く改善施策までを一続きでお手伝いしています。今週のようにコアの重大な脆弱性が出た週は、「更新して安心」で止めず、更新前後の数字がどう動いたかまで見届けることが大切だと考えています。バージョン確認の手順が分からない、更新したいが表示崩れが心配、といったご相談も歓迎します。対応は全国、オンラインで承っており、平日8:00〜16:00にご連絡いただければ順にお返事いたします。詳しくはhttps://shinichi-miyazaki.website/をご覧ください。
まとめ
今週は、8月19日の7.1リリースに向けたRC入り直前という「準備の週」であると同時に、wp2shellへの対応がまだ済んでいないサイトにとっては「猶予のない週」でもありました。7.1のReact 19移行は検証に時間をかけるべき変更で、逆にセキュリティ更新は今日中に確認すべき事項です。この2つは急ぎ方が違います。私は、こうした最新動向を「今すぐ動く数字」と「あとで効いてくる実務」に翻訳して、皆さまのサイト運営に伴走してまいります。
ご相談は30分無料診断から。https://lit.link/eltaller（平日8:00〜16:00・オンライン可）