2026年10月6日、WordPressの最新版「7.1.3」が公開されました。今回は新機能の追加ではなく、セキュリティ修正を目的とした緊急性の高いリリースです。普段は更新を後回しにしている方も、このバージョンだけは早めに確認しておくことをおすすめします。本記事では、何が修正されたのか、なぜ急いだほうがいいのかを、専門用語を避けてお伝えします。
WordPress 7.1.3は何が変わったのか
公式のリリースノートによると、7.1.3は新機能や仕様変更を含まない「セキュリティリリース」です。管理画面の「ダッシュボード>更新」から自動更新するか、wordpress.org/download/releases/ から手動でダウンロードして適用します。多くのレンタルサーバーでは自動更新が有効になっていますが、念のため自分のサイトのバージョン表示を確認しておくと安心です。
7.1本体（2026年8月19日リリース）で何が変わったのかは、こちらの記事にまとめています。更新前に見ておきたい3か所と、後回しでいい機能を分けて書きました。
7件のセキュリティ修正の内容
今回のリリースでは、合わせて7件の脆弱性が修正されました。特に実害につながりやすいものをいくつか取り上げます。
コメント管理画面の持続的XSS
保留中のコメントを悪用し、管理画面を開いた人のブラウザ上で不正なスクリプトが動いてしまう恐れがある問題です。コメントを受け付けているサイトでは影響が出やすい箇所でした。
投稿エクスポート機能のSQLインジェクション
投稿データをエクスポートする機能に、データベースへの不正な操作につながりうる問題が見つかりました。日常的にエクスポートを使わない方も、対象の機能が存在する以上は無関係ではありません。
投稿者権限でも記事を固定表示できてしまう不具合
本来であれば権限の低い「投稿者」ロールのユーザーはできないはずの「先頭に固定表示」操作が、できてしまう不具合です。複数人で運用しているサイトほど影響が気になるところです。
非公開記事のコメントが外部から見えてしまう問題
ログインしていない第三者にも、非公開・未公開の投稿のコメントが見えてしまう恐れがある問題です。下書き段階の内容を人に見られたくない場合は特に注意したい修正です。
Imgur埋め込みのXSS
Imgurの画像を埋め込む機能に、スクリプトが実行されてしまう恐れのある問題が見つかりました。
残る2件は、「WP_Http::make_absolute_url()」というURL処理部分のDoS（サービス停止につながる負荷）対応と、特定のフック名が偽装によって衝突してしまう問題への対応です。どちらも専門的な内容ですが、更新を適用すれば利用者側で個別に対処する必要はありません。
Anthropicも発見に関わっている
今回報告者の一覧を見ると、7件のうち3件がAnthropic（AI企業・Claudeの開発元）からの報告となっていました。セキュリティ研究者だけでなく、AI関連企業がオープンソースの脆弱性調査にも関わっている例として、覚えておいてよい事実だと思います。
今すぐやっておきたいこと
- ダッシュボードで現在のバージョンを確認する
- 自動更新が有効になっているか確認する（有効でも、念のため目視確認はしておく）
- 更新前にバックアップを取る（プラグインの相性で表示が崩れることがあるため）
- 更新後、トップページと主要なページの表示を確認する
- キャッシュ系プラグインを使っている場合は、更新後にキャッシュを削除する
ブランドマネージャー・ウェブ解析士として思うこと
ブランド戦略の観点からいうと、セキュリティ対応は目立たない作業ですが、「信頼」という資産を守るための土台です。問い合わせフォームが止まったり、サイトが改ざんされたりすれば、積み重ねてきた「らしさ」や実績の説明がすべて台無しになります。見た目のデザインや文章と同じくらい、裏側の健全性も「選ばれる理由」の一部だと、私は考えています。
ウェブ解析士の立場からは、もう一つお伝えしたいことがあります。更新したら安心、ではなく、更新後にGA4やサーチコンソールで「表示速度」「直帰率」「エラーページの増減」に変化が出ていないかを、最低限でよいので確認する習慣をおすすめします。今回のような修正は表示に影響しないことが多いですが、念のため数字で確認する、というのがウェブ解析士としての癖です。勘で「大丈夫そう」と判断するのではなく、数字で確かめる。これが、私がこの仕事をするうえでいちばん大事にしている部分です。
まとめ
WordPress 7.1.3は、機能追加ではなくセキュリティ対応のための更新です。影響の大きさはサイトの構成によって変わるため過度に心配する必要はありませんが、放置する理由もありません。更新そのものは数分で終わる作業です。ホームページは「作って終わり」ではなく、こうした細かな手当てを積み重ねて育てていくものだと、私はいつも考えています。
更新そのものより、更新後に数字が変わっていないかを見るほうが手間がかかります。その見方だけでも、30分の無料診断で一緒に確かめられます。売り込みはしません。
よくある質問
セキュリティ修正が未適用のままだと、今回公開された手口を使った攻撃を受ける可能性が残ります。影響の大きさはサイトの構成によって異なるため、まずは現在のバージョンを確認することをおすすめします。
マイナーバージョンの自動更新は多くの環境で有効ですが、サーバー側の設定やキャッシュ系プラグインの影響で反映が遅れることもあります。管理画面で実際のバージョンを一度確認すると安心です。
まれに、古いプラグインやテーマとの相性で表示が崩れることがあります。更新前にバックアップを取っておけば、もとに戻すことができます。
更新作業そのものは簡単でも、「ちゃんと反映されているか」「何か崩れていないか」を毎回自分で見るのは手間がかかります。月次でGA4やサイトの状態を一緒に確認する「かかりつけウェブ顧問」のような形で、継続的に見てもらう選択肢もあります。
WordPress公式サイトのリリースノート（wordpress.org/documentation）に、修正内容と変更されたファイルの一覧が公開されています。