今週（2026年10月5日〜10月11日）のWordPressに関する最新情報を、葛飾区の宮崎真一（私）が「実務でどう活かすか」の視点を添えてお届けします。
今週は、WordPress本体の修正版が出たことと、お問い合わせフォームなど「よく使われているプラグイン（サイトに機能を足す追加部品）」の不具合が実際に悪用されていると確認されたことが中心でした。管理画面だけで確認できることに絞ってお伝えします。
📢 WordPress公式ニュース
1. WordPress 7.1.3 が公開されました（10月6日）。7件の不具合の修正と4件の動作改善を含む、修理のための更新です。自動更新が有効なサイトは、順番に自動で上がります。
2. 次の大きな更新「WordPress 7.2」は12月8日公開予定です（10月6日発表）。最初のお試し版が10月20日に出ます。年末の忙しい時期と重なるので、更新のタイミングは早めに相談しておくと安心です。
3. 7.2では、データベース（サイトの文章やお客様情報をしまっておく保管庫）の古い設定を既定で使わなくなります（10月9日発表）。サーバーの設定次第で、古い追加部品が誤作動する可能性があります。本体側ではなく、お使いのサーバー環境で影響が出るタイプの変更です。
▶ 宮崎真一の視点
管理画面の「ダッシュボード → 更新」を開いて、バージョンが 7.1.3 になっているか見てください。6.x や 7.0 のままなら更新が止まっています。制作会社に任せている場合は「本体は7.1.3まで上がっていますか。自動更新は有効ですか」と一言聞けば十分です。12月の7.2は、いきなり本番に当てず、本番と同じ内容のテスト用サイト（ステージング環境）で先に試す段取りを、今のうちに頼んでおくと安全です。
参照元：7.1.3公開（wordpress.org）／7.2の予定／7.2のデータベース設定変更
🔌 プラグイン・テーマ情報
1. お問い合わせフォームの定番「Ninja Forms」が 3.15.4 で修正されました。3.15.3以前では、フォームに細工した文字を送られると、それを読んだ管理者の画面で勝手に何かが動いてしまう不具合がありました。
2. ネットショップ用の「WPC Product Bundles for WooCommerce」が 8.6.7 で修正されました。8.6.6以前が対象。注文情報に細工した文字を残され、注文一覧を開いた管理者の画面で動いてしまうものです。構造は上と同じで、入口が注文画面に変わっただけです。
3. 表示速度の方針が一歩進みました（10月6日）。「たくさんの部品ファイルをひとつにまとめて読み込む機能」を既定でオフにする提案が次の段階へ。古い環境向けの仕組みで、長年不具合の原因にもなっていたものです。今すぐやることはありませんが、将来の更新で表示が崩れたときの原因候補になります。
▶ 宮崎真一の視点
管理画面の「プラグイン」を開いて、Ninja Forms と WPC Product Bundles の名前があるか探してください。あれば更新、それだけです。もうひとつ、使っていないプラグインは「停止」で止めずに「削除」まで進めてください。停止中でもファイルはサーバーに残り、入口は閉じません。ウェブ解析士として数字を見ていると、使っていない部品を外しただけで表示が軽くなる例は珍しくありません。
参照元：該当2プラグインの修正版について（Patchstack）／表示速度の会議まとめ（10月6日）
🔒 セキュリティ情報
1. 「Bricksforge」3.1.8.9以前に重大な不具合（10月8日公表）。ログインしていない人でもサーバーにファイルを送り込め、サイトを操作できてしまうものです（CVE-2026-85097、深刻度は10段階で最大の10.0）。10月7日21時47分（世界標準時）から実際の攻撃が観測されています。3.1.8.10以降へ更新してください。Bricks Builderという制作ツールと組み合わせる部品なので、お使いでなければ対象外です。
2. 上の2つのプラグインの不具合を悪用した一連の攻撃が報告されました（10月6日）。管理者が注文一覧やフォームの送信内容を開いた瞬間に、そのブラウザで小さなプログラムが動き、「ユーザー」一覧に表示されない管理者アカウントと、リンクを踏むだけでログインできる裏口をつくる流れです。大事なのは、プラグインを更新しても、すでにつくられたアカウントや裏口は残る点。更新と点検は別の作業です。
3. 本体7.1.3で直った7件のうち1件は、ログインしていない人が非公開・下書き記事のコメントを読めてしまうものでした。公開前の原稿にやりとりを書き込んでいるサイトは、本体の更新がそのまま対策になります。
▶ 宮崎真一の視点
今週中に1つだけやるなら、管理画面の「ユーザー」を開いて、管理者権限の人数と名前を数えることです。ご自身と制作会社の担当者以外に心当たりのない名前があれば、そこで手を止めてください。support / updater / maintenance / backup といった「いかにもシステムらしい名前」が混じっていたら、制作会社かサーバー会社に「この管理者に心当たりがありません。作成日時とアクセス記録を確認してください」と伝えてください。作って終わりにしないというのは、こういう5分の点検を月に一度続けることだと私は考えています。
参照元：Bricksforgeの不具合と攻撃観測（Patchstack）／7.1.3の修正内容（wordpress.org）
宮崎真一からのご提案
今週のように「本体を上げる」「プラグインを上げる」「つくられた裏口がないか見る」が同時に来る週は、誰かが定点で見ている体制があるかどうかで差が出ます。私はWordPressの構築から、アクセス解析の数字を一緒に見ながら直していく運用、その先のマーケティングのご相談までを、一人で続けて担当しています。平日8:00〜16:00、オンラインで全国対応です。
売り込みはいたしません。「自分のサイトが今どういう状態なのか、まず知りたい」という段階でしたら、30分の無料診断をご利用ください。https://shinichi-miyazaki.website/free-consultation/?cta=digest1011#booking
まとめ
今週の中心は、WordPress 7.1.3の公開（10月6日）と、お問い合わせフォーム・注文画面まわりの不具合が実際に悪用されていると確認されたこと（10月6〜8日）でした。やることは3つです。本体を7.1.3にする、プラグインを最新にする、管理者一覧に見覚えのない名前がないか見る。どれも管理画面だけで確認できます。
私はこうした最新動向を、そのまま流すのではなく「御社の数字と、月曜の朝に取れる一手」に翻訳してお伝えするようにしています。来週もまた、同じ視点でお届けします。
宮崎真一（ブランドマネージャー・ウェブ解析士）／戦略的ウェブ制作工房 エルタジェール