WordPress 7.1.4へすぐ更新を｜22件の脆弱性の修正と、バージョンの確かめ方・更新のやり方

2026年10月29日

WordPressのサイトは7.1.4へ更新する。まず管理画面の「ダッシュボード」の「概要」のウィジェットのいちばん下で、いまのWordPressのバージョンを確かめる。7.1.4になっていれば、この件でほかにやることはない。7.1.4でなければ、データベースとファイルのバックアップを取ってから、「ダッシュボード」→「更新」の画面で7.1.4へ更新する。古い系列（7.0以前）を使っているなら、できれば7.1.4まで上げ、すぐに上げられないときは、使っている系列で直ったバージョンへ更新する。WordPressのサイトを運営している人へ

WordPressでサイトを運営しているなら、いますぐWordPress 7.1.4へ更新します。WordPress 7.1.4は2026年10月28日付で出たセキュリティ更新で、公式のリリースノートは修正した脆弱性を22件と数えていて、その中には遠隔でコードを実行されるおそれのある問題も入っています。

自動更新が効いているサイトは、すでに7.1.4になっていることがあります。管理画面でいまのバージョンを確かめ、7.1.4でなければ、バックアップを取ってから更新します。10月29日11時31分時点の、WordPress.orgの公式の告知とリリースノートの内容です。

結論：運営者がやること

管理画面の「ダッシュボード」で、いまのWordPressのバージョンを確かめる。
7.1.4になっていれば、この件でほかにやることはない。
7.1.4でなければ、データベースとファイルのバックアップを取る。
「ダッシュボード」→「更新」の画面から、7.1.4へ更新する。
古い系列（7.0以前）を使っているなら、できれば7.1.4まで上げる。すぐに上げられないときは、その系列で直ったバージョンへ更新する。

WordPress 7.1.4で直ったこと

公式の告知は、これはセキュリティのリリースで、すぐにサイトを更新するよう勧めています。リリースノートは、今回の修正の対象を22件の脆弱性として数えています。

公式の告知とリリースノートに書かれている、おもな中身です。

WordPressの更新の処理の弱点で、更新している間に遠隔でコードを実行されるおそれがある問題
保存型のクロスサイトスクリプティング（XSS）の問題。ブロックのマークアップ、個人データ消去のリクエストの画面、Interactivity API、カスタマイザー、コメントのページ送りのブロックなど、いくつもの場所で直った
Interactivity APIでのサービス妨害（DoS）の問題
カスタマイザーで公開前の変更が、ログインしていない訪問者に見えてしまう問題
同梱しているルート証明書の更新（eMudhraの失効によるもの）

リリースノートでは、保存型のXSSの多くに「Contributor+」（寄稿者以上の権限）と書かれています。ほかの人にもアカウントを渡しているサイトでは、なおさら早めに更新します。

自分のサイトのバージョンの確かめ方

管理画面にログインし、「ダッシュボード」の「概要」のウィジェットを見ます。ウィジェットのいちばん下に、使っているWordPressのバージョンと、有効にしているテーマが表示されます。

「ダッシュボード」→「更新」の画面でも確かめられます。7.1.4を使っていれば、この画面に「最新バージョンの WordPress をお使いです。」と表示されます。

サーバーでWP-CLIが使えるなら、次のコマンドでもバージョンを表示できます。

wp core version

更新の前にバックアップを取る

WordPressの公式のドキュメントは、データベースを定期的に、そして更新の前には必ずバックアップするよう勧めています。サイトを元どおりに戻すには、データベースとファイルの両方が要ります。

データベース：投稿・固定ページ・コメントなどが入っている
ファイル：WordPressの本体のほか、wp-contentのフォルダー（テーマ・プラグイン・アップロードした画像など）と、wp-config.phpを含む

レンタルサーバーのバックアップの機能や、バックアップのプラグインを使っているなら、更新の前に最新のバックアップができているかを見ておきます。

WordPress 7.1.4への更新のやり方

管理画面から更新する

管理画面の「ダッシュボード」→「更新」を開き、WordPressを7.1.4へ更新するボタンを押します。画面の上に新しいバージョンのお知らせが出ていれば、そこのリンクからも始められます。終わったら、もう一度「概要」のウィジェットで7.1.4になったかを確かめます。

キャッシュのプラグインやサーバーのキャッシュを使っているなら、更新のあとにキャッシュを消しておきます。

自動更新が効いているかを確かめる

WordPress 3.7からは、セキュリティ更新などのマイナーリリースが自動で入るしくみ（自動バックグラウンド更新）があり、多くのサイトで最初から有効になっています。公式の告知も、自動バックグラウンド更新が使えるサイトでは更新が自動で始まるとしています。

自動で入ったかどうかは、上のやり方でバージョンを見るのがいちばん確実です。7.1.4になっていなければ、管理画面から手で更新します。

自動更新は、wp-config.phpの設定で止めることもできます。しばらくたっても7.1.4にならないときは、wp-config.phpに、AUTOMATIC_UPDATER_DISABLEDをtrueにする行や、WP_AUTO_UPDATE_COREをfalseにする行がないかを確かめます。公式のドキュメントは、マイナーリリースの自動更新を止めないよう強く勧めています。

WP-CLIで更新する

サーバーでWP-CLIが使えるなら、次のコマンドで最新のバージョンへ更新し、データベースの更新も済ませてから、バージョンを確かめます。

wp core update
wp core update-db
wp core version

古い系列を使っている場合

公式の告知によると、今回の修正は、セキュリティ修正を受けられるすべての系列（いまは4.7まで）にも入ります。ただし、積極的にサポートされているのは最新のバージョンだけです。古い系列のサイトも、できれば7.1.4まで上げます。

すぐに7.1.4まで上げられないときは、少なくとも、使っている系列で直ったバージョンへ更新します。リリースノートは、7.0と6.9には今回の22件すべてが当てはまり、7.0.8・6.9.11で直ったとしています。系列ごとの直ったバージョンは、次のとおりです。

使っている系列	直ったバージョン
7.1	7.1.4
7.0	7.0.8
6.9	6.9.11
6.8	6.8.12
6.7	6.7.11
6.6	6.6.11
6.5	6.5.14
6.4	6.4.14
6.3	6.3.14
6.2	6.2.15
6.1	6.1.16
6.0	6.0.18
5.9	5.9.20
5.8	5.8.19
5.7	5.7.21
5.6	5.6.23
5.5	5.5.24
5.4	5.4.25
5.3	5.3.27
5.2	5.2.30
5.1	5.1.28
5.0	5.0.31
4.9	4.9.35
4.8	4.8.34
4.7	4.7.39
4.6以前	セキュリティ更新は出ない