今週（2026年8月3日〜8月9日）のWordPressに関する最新情報を、葛飾区の宮崎真一（私）が「実務でどう活かすか」の視点を添えてお届けします。今週はセキュリティリリースと次期メジャーバージョンの最終調整が重なった、運用担当者にとって見逃せない一週間でした。
📢 WordPress公式ニュース
1. WordPress 7.0.3 がセキュリティリリースとして公開（8月6日）
リリースリードのJohn Blackbourn氏により、12件の脆弱性修正を含む7.0.3が公開されました。セキュリティリリースのため、公式からも「すぐに更新してください」と案内されています。自動バックグラウンド更新が有効なサイトは順次適用されます。（参照：WordPress 7.0.3 release）
2. WordPress 7.1 リリース候補版（RC1）が登場
最終リリース日は2026年8月19日で、8月16〜19日開催のWordCamp US 2026に合わせて公開される予定です。Beta 4以降だけで145件以上の更新が入り、内訳はエディター57件・コア88件。新機能としてIcons API、リビジョンの共有リンク、Notesの@メンション通知メールなどが加わりました。（参照：WordPress 7.1 Release Candidate 1）
3. WordPress 7.1 フィールドガイドが公開
Milana Cap氏がまとめたフィールドガイドによると、7.1では310件超のCore Tracチケット、20の新しいフック、約600件のGutenberg改善が含まれます。注目は投稿エディターの完全iframe化、SVG Icon API、レスポンシブ・ブロックスタイル、クライアントサイドのメディア処理APIです。（参照：WordPress 7.1 Field Guide）
4. Gutenberg 23.7 がリリース
ギャラリーブロックの「Convert to images」が意味の分かりやすい「Detach」に変更され、動作を説明するモーダルも追加されました。ほかに、フロートしたブロックが固定ブロックと重なる不具合の修正なども入っています。（参照：What’s new in Gutenberg 23.7）
▶ 宮崎真一の視点
私は7.0.3の適用と7.1の検証を、明確に切り分けて進めることをおすすめしています。7.0.3はセキュリティ修正なので「今日中に当てる」判断でよい一方、7.1はエディターの完全iframe化という互換性リスクを含むため、本番ではなくステージング環境で確かめる工程が必要です。ウェブ解析士として申し上げると、更新の前後でGoogle Analyticsの主要導線（フォーム到達率・直帰率）を7日単位で比較しておくと、万一の不具合を「感覚」ではなく「数字」で早期に検知できます。
🔌 プラグイン・テーマ情報
1. WooCommerce 11.0 が公開
バリエーション商品ページの表示が約9〜12%高速化し、大規模ストアでは注文管理画面の動作も改善されました。分析面では、返金が「発生した期間」で計上されるようになり、セッション数からボットが除外されます。ゲスト購入者がアカウント作成時に過去注文を紐づけられる機能や、カート放棄対策のCheckout Recovery（ベータ）も追加されています。（参照：What’s new in WooCommerce 11.0）
2. Human Made が「Block Runner」をオープンソース公開
AIが生成したHTMLを、wp:cover や wp:columns といった正しいネスト構造のネイティブブロックへ変換するNode製CLIです。ベンチマークでは、AIが単体でブロックマークアップを書いた場合のスコアが35〜73だったのに対し、Block Runnerと組み合わせると93〜99まで向上したと報告されています。（参照：Block Runner – GitHub）
3. Vercel AI Gateway Provider プラグインが登場
元Core AIチーム担当のFelix Arntz氏によるプラグインで、APIキー1つで40社以上・数百のAIモデルを利用できます。プロバイダー障害時の自動フォールバックにも対応しています。（参照：Vercel AI Gateway Provider）
4. WordPress Playground の新UIが公開
カスタマイズ可能なDock、自動保存、保存済みインスタンスのビジュアルプレビューが追加されました。ブラウザだけで7.1の検証環境を用意できるため、更新前テストのハードルが下がっています。（参照：New WordPress Playground UI）
▶ 宮崎真一の視点
WooCommerce 11.0で私がいちばん重要だと考えているのは、表示速度ではなく「返金が発生期間で計上される」「セッションからボットを除外する」という分析仕様の変更です。集計の定義が変われば、先月までの数字と単純比較はできなくなります。SEO検定1級の観点でも、Core Web Vitalsの改善は評価しつつ、更新日を必ず記録して前後で切り分けられるようにしておくことが、施策評価を誤らないための基本だと考えています。
🔒 セキュリティ情報
1. 最重要：ログイン画面の未認証XSS（CVE-2026-64638）
今回の12件のうち最も深刻なのが、ログイン画面における未認証（プリ認証）のリフレクテッドXSSです。認証なしで到達可能で、条件によってはPHPコード実行につながる可能性があると報告されています。
2. そのほかの修正内容
投稿・Post Contentブロック・クイック編集・Post Dateブロックにおける寄稿者権限以上の格納型XSS、ユーザー登録を有効化したマルチサイトでの権限昇格、パスワード保護記事のコメントが露出する情報漏えい、投稿スラッグの列挙、安全なCSS属性フィルターの回避、メールアドレス確認フローの回避、URL検証におけるSSRFなどが修正されました。
3. 4.7までバックポート／脆弱性報告は月450件規模へ
修正は現在サポート対象となる4.7までのブランチへ順次バックポートされます。なお報告件数は、今年初めまで月20〜30件だったものが月450件規模まで増えているとされています。（参照：Patchstack: WordPress 7.0.3 Released）
▶ 宮崎真一の視点
今週取るべきアクションは明確で、まず管理画面で7.0.3が適用済みかを確認することです。未認証で到達できる脆弱性は、権限管理では防げません。加えて、寄稿者権限以上の格納型XSSが複数含まれている点から、外部ライターや制作会社に権限を渡しているサイトでは、この機会に不要な編集者・寄稿者アカウントを棚卸ししておくとよいと考えます。私は「作って終わりにしない」ことを大切にしており、月1回の更新確認とバックアップ復元テストを運用に組み込むことをおすすめしています。
宮崎真一からのご提案
今週のように、セキュリティ更新と大型バージョンアップが重なる時期は、「更新して大丈夫か」「更新後に数字が落ちていないか」を同時に見なければなりません。私はWordPressの構築から、ウェブ解析、マーケティングの改善提案までを一人で一気通貫でお引き受けしているため、更新作業の判断と、その後のアクセス・問い合わせ数への影響確認を、切れ目なくお手伝いできます。まずは今のサイトの状態を一緒に確認するところからで構いません。公式サイトよりお気軽にご相談ください（平日8:00〜16:00・全国対応・オンライン可）。
まとめ
今週は、12件の脆弱性を修正したWordPress 7.0.3が公開され、8月19日リリース予定の7.1もRC1・フィールドガイドと最終段階に入りました。プラグイン側ではWooCommerce 11.0の分析仕様変更と、AI生成コンテンツをブロックへ正しく変換する取り組みが目立ちます。まずは7.0.3の適用状況の確認、次に7.1の検証環境での事前テスト、という順序をおすすめします。私は今後も、こうした最新動向を「数字」と「実務」に翻訳しながら、皆さまのサイト運用に伴走してまいります。
ご相談は30分無料診断から。https://lit.link/eltaller（平日8:00〜16:00・オンライン可）