今週（2026年10月19日〜10月25日）のWordPressに関する最新情報を、葛飾区の宮崎真一（私）が「実務でどう活かすか」の視点を添えてお届けします。
今週は、サイトを動かしている土台のソフトに緊急の修理が出て、さらにバックアップ用プラグインの「合鍵」が盗まれて悪用される事件が起きました。どちらもコードを触らない方に関係する話なので、確認のしかたまで書きます。
📢 WordPress公式ニュース
1. PHPの緊急セキュリティ更新（10月21日）
WordPressを動かしている土台のソフト「PHP」に重大な不具合が2件見つかり、修理版が公開されました。WordPress本体の更新は不要で、直すのはサーバー側です。なお、PHP 8.2より古いバージョンはすでに修理の提供が終わっています（＝新しい不具合が見つかっても直されない状態）。参照：WordPress.org News
2. WordPress 7.2 ベータ1が公開（10月20日）
次の大きな更新「7.2」の試作版が出ました。正式公開の予定は12月8日です。試作版は検証用なので、本番のサイトには入れないよう公式も明記しています。今の時点では「12月に大きな更新が来る」と頭に入れておけば十分です。参照：WordPress.org News
3. 7.2では既存サイトの見た目が変わる可能性もある
開発者向けの告知では、写真を並べる「ギャラリー」の見た目を決める指定の効き方が変わる、管理画面のアイコンの描き方が変わる、といった変更が挙がっています。平たく言えば「12月の更新後、お使いのテーマやプラグインによっては表示が崩れることがある」という話です。参照：WordPress Developer Blog
▶ 宮崎真一の視点
月曜の朝、管理画面の「ツール」→「サイトヘルス」→「情報」タブ→「サーバー」を開いて、PHPのバージョンの数字をメモしてください。8.2より小さければ、サーバー会社の管理画面かサポートに「PHPを8.2以上に上げたい」と伝えるだけで済むことが多いです。制作会社に任せている場合は「今のPHPのバージョンはいくつで、上げる予定はありますか」と1行聞けば十分です。
🔌 プラグイン・テーマ情報
1. Rank Math PROの配布ファイルに不正なコードが混入（10月15日〜16日）
SEO対策で広く使われているRank Mathの有料版で、公式サイトからダウンロードできたファイルの中に、約11時間だけ不正なコードが混ざっていました。対象はバージョン3.0.123のみ。WordPressの公式配布サイト（公式ディレクトリ＝管理画面から検索して入れられる場所）で配布されている無料版は、影響を受けていません。安全な版は3.0.124です。参照：BleepingComputer
2. 新しいプラグインに公開前の自動審査が入る
公式ディレクトリに登録される新しいプラグインは、公開前に自動でセキュリティ審査を受け、危険度が高いものは自動で止められるようになります。使う側から見れば、更新が届くまでの時間が少しずれる場合がある、という程度の変化です。
3. 修理版が出ないまま公開停止になったプラグインがある
今週は「MAS Videos」「Front End Users」「Advanced Twenty Seventeen」が、不具合の修理版が出ないままWordPress公式ディレクトリでの配布を止められました。配布停止になったものは今後も直りませんので、入っていれば外すか、同じことができる別のものに替えるのが基本です。
▶ 宮崎真一の視点
管理画面の「プラグイン」→「インストール済みプラグイン」を開いて、各プラグイン名の下にある最終更新日を見てください。1年以上更新されていないものは、作者が手を引いている可能性があります。そのうえで押さえておきたいのが、有料プラグインは公式ディレクトリの外から入れるため、WordPressの自動更新の網にかからないという点です。有料版を使っているなら、開発元からのお知らせメールを受け取れる状態にしておく。これが今回のRank Mathのような配布事故に気づく唯一の経路です。
🔒 セキュリティ情報
1. UpdraftPlusの「合鍵」が盗まれ、裏口を作られる事件（10月18日〜19日）
バックアップで定番のUpdraftPlusには、複数サイトをまとめて管理する「UpdraftCentral」という機能が、無料版・有料版のすべてに同梱されています。この管理用の合鍵（接続キー）が外部に漏れ、正規の鍵として受け付けられてしまったため、サイト側の検査を通り抜けて裏口が作られました。プラグイン自体の不具合ではないため、更新しても止まりません。作られた管理者は一覧上は「編集者」に見え、2段階認証も回り込みます。参照：Patchstack
2. 利用者の多いプラグインに修理版が出ました
今週は、Speed Optimizer（100万サイト以上）が7.8.5、Popup Builder（20万以上）が4.4.6、Download Monitor（8万以上）が5.3.5、ACF: Extendedが0.9.2.8で修理されています。いずれも更新すれば解決する内容です。
3. 今週の不具合は「実際に攻撃された」報告は確認されていません
上記2で挙げた不具合については、現時点で悪用の報告は出ていません。慌てる必要はなく、順番に更新していけば大丈夫です。
▶ 宮崎真一の視点
UpdraftPlusが入っているサイトは、今週のうちに「設定」→「UpdraftPlus Backups」→「高度なツール」→「UpdraftCentral」を開いて、鍵が登録されていないか見てください。登録されていれば削除します。鍵を消してもバックアップ自体は止まりません。UpdraftCentralを使った覚えがなくても、接続時に既定でオンになるため鍵が残っていることがあります。あわせて「ユーザー」一覧を開き、心当たりのないアカウントがないかも確認してください。作って終わりにしない運用とは、派手な対策を足すことではなく、こういう確認が毎週その場でできる状態を保つことだと考えています。
宮崎真一からのご提案
今週の内容は、どれも「誰かが気づいて手を動かせば終わる」ものでした。逆に言えば、気づく人がいないサイトでは何も起きないまま時間が過ぎます。私はブランドマネージャー・ウェブ解析士として、WordPressの構築から毎月の数値の確認、改善までを一人で一気通貫で担っています。「自分のサイトが今どうなっているか分からない」という段階からで大丈夫です。30分の無料診断で現状をご一緒に見ますので、気になることがあればお声がけください。平日8:00〜16:00・全国対応・オンラインで完結します。
まとめ
今週は、PHPの緊急更新とUpdraftPlusの合鍵漏えいという「更新ボタンを押すだけでは終わらない」話が2件重なりました。やることは、PHPのバージョンを1回確認すること、UpdraftPlusの鍵を1回見ること、そして更新があるプラグインを順番に当てること。この3つだけです。最新動向は、放っておくと不安の材料になりますが、数字と手順に翻訳すれば、ただの作業に変わります。私はその翻訳をする役として、これからも毎週お伝えしていきます。
