WordPress.org は2026年10月28日（日本時間29日2時ごろ）、セキュリティリリース「WordPress 7.1.4」を出しました。直した脆弱性は22件。公式は「直ちにサイトを更新することをお勧めします」としています。
とはいえ、WordPressには自動更新があります。何もしなくても、もう新しくなっているのでは？ そう思う人も多いはずです。
私たちは、公式の発表を1行ずつ数え、手元で WordPress 7.1.3 を動かして、7.1.4 への自動更新が本当に来るのかを試しました。
先に結論を書きます。
WordPress 7.1.4 は、脆弱性22件を直したセキュリティリリースです。 中には、アップグレードの実行中にリモートコード実行につながるおそれがある問題も入っています HelpHub の17項目を、だれが悪用できるかで分けると、8項目は寄稿者以上でログインした人でした。 ただし、ログインが要らないものと、本体の更新の途中に起きるものが1項目ずつあり、ひとりで運営しているサイトにも関係します 公式の zip で入れた 7.1.3 は、ログイン画面を開いただけで、約6秒で 7.1.4 に自動で更新されました。 設定は何も変えていません git で入れた 7.1.3 は、7.1.3 のままでした。 wp-config.php で自動更新を止めているサイトや、訪問の少ないサイトも、自動で更新されないことがあります 古い系列にも、同じ日に修正版が出ました（7.1.4 と合わせて25本）。 ただし 4.6 以前には出ず、公式が積極的にサポートしているのは最新版だけです
まずは「ダッシュボード → 更新」で、今の版を見てください（7章 ）。
目次
1. 公式の発表：何が直った？ 2. 直したのは何件？ 公式の中でも数え方が違う 3. だれが悪用できる？ 17項目を分けた 4. 何もしなくても、自動で更新される？ 手元で試した 5. 同じ 7.1.3 でも、自動で更新されないサイト 6. 古い版のサイトは？ 修正版は25本、サポートは最新版だけ 7. 今日やること（5つ） よくある質問 まとめ 出典（2026年10月29日に確認）
1. 公式の発表：何が直った？
WordPress 7.1.4 の英語の発表は10月28日（日本時間29日2時ごろ）、日本語の訳は29日12時41分に ja.wordpress.org に載りました。
ja.wordpress.org「WordPress 7.1.4」（WordPress.org 公式ブログの訳・2026年10月29日）
日本語の訳には「これはセキュリティ関連のリリースであるため、直ちにサイトを更新することをお勧めします。」と書かれています。更新の仕方は、WordPress.org からダウンロードするか、ダッシュボードで「更新」をクリックし、「今すぐ更新」をクリックする。そして「自動バックグラウンド更新に対応しているサイトでは、更新が自動的に始まります。」とも書かれています。
自分のサイトが、この「対応しているサイト」なのかどうか。それを4章と5章で確かめます。
なお、7.1.4 はショートサイクルリリースで、次の大きな版の 7.2 は12月8日に出る予定です。
最初に書かれているのは、更新の途中の問題
ja.wordpress.org「WordPress 7.1.4」（2026年10月29日）
直した問題の一覧で、最初に書かれているのは「WordPress のアップグレード処理における脆弱性で、アップグレードの実行中にリモートコード実行につながるおそれがある問題」です。更新しているわずかな間に、外からプログラムを動かされる恐れがあった、ということです。どういうときに起きるのか、詳しいことは公式も書いていません。
ほかの多くは「格納型 XSS」の問題です。XSS は、サイトに悪いスクリプトを仕込まれる問題で、格納型は、仕込まれたものがサイトの中に保存され、ページを開いた人のブラウザで動いてしまう種類です。
2. 直したのは何件？ 公式の中でも数え方が違う
何件直ったのかを数えると、同じ 7.1.4 の発表でも、公式のページによって数が違いました。
WordPress.org「WordPress 7.1.4」・HelpHub「Version 7.1.4」を Sorabun が数えた（2026年10月29日）
公式のページ
数
書き方
WordPress.org のニュースの記事
12行
似た問題を1行にまとめている（ほかに証明書の更新が1行）
HelpHub（版ごとの説明のページ）
17項目
1つずつ分けて並べている（ほかに証明書の更新が1行）
HelpHub の古い版の説明
22件 「WordPress 7.0 is affected by all 22 vulnerabilities」
17項目と22件が合わないのは、HelpHub の項目の中に「stored cross-site scripting (XSS) and denial of service issues」のように、いくつかの問題を1つにまとめたものがあるためです。最後の1行の「eMudhra の失効に伴う、同梱のルート証明書の更新」は、脆弱性の修正ではありません。
この記事では、件数には HelpHub の22件を使い、だれが悪用できるかは、1つずつ分けてある17項目で数えます。
3. だれが悪用できる？ 17項目を分けた
HelpHub の一覧には、項目の頭に「Contributor+」「Author+」「Editor+」のように、だれが悪用できるかが書かれています。後ろの「+」は、その権限か、それより上の権限でログインした人、という意味です。
WordPress.org Documentation「Version 7.1.4」（HelpHub）
この書き方のまま、17項目を1つずつ分けました。
HelpHub「Version 7.1.4」の17項目を Sorabun が分けた（2026年10月29日）
だれが悪用できるか
項目
寄稿者（Contributor）以上でログインした人
8
投稿者（Author）以上でログインした人
1
編集者（Editor）以上でログインした人
1
コメントを管理できる独自の権限の人
1
ログインしていない人
1
本体の更新の途中
1
書かれていない
2
強化（脆弱性の修正ではなく、守りを固める直し）
2
合計
17
いちばん多いのは、寄稿者以上でログインした人が悪用できるもので、17項目のうち8項目でした。寄稿者は、記事を書けるけれど、公開はできない権限です。種類で見ると、17項目のうち10項目が XSS でした。
ひとりで運営しているサイトは、急がなくていい？
数字だけを見ると、ログインできる人が少ないサイトなら大丈夫、と思えるかもしれません。読み方の注意です。
寄稿者や投稿者のアカウントを、ほかの人に渡しているサイトは、特に急いでください。 8項目の入口になる権限です ログインしていない人の1項目と、本体の更新の途中の1項目は、アカウントの数に関係ありません。 ログインしていない人の1項目は、公開前のカスタマイザーの変更が見えてしまう問題です 使っていないアカウントも入口になります。 パスワードを盗まれれば、その権限で悪用できてしまいます
だから、ひとりで運営しているサイトでも、更新は必要です。
4. 何もしなくても、自動で更新される？ 手元で試した
公式の発表には「自動バックグラウンド更新に対応しているサイトでは、更新が自動的に始まります。」とありました。本当に始まるのか、手元で試しました。
試し方
入れ方: 公式の zip（downloads.wordpress.org の日本語版 wordpress-7.1.3.zip ）で入れた WordPress 7.1.3 設定: 入れたまま。自動更新の設定は何も変えない 動かし方: 手元の PHP 8.3.6 の簡易サーバーで動かし、2026年10月29日17時15分（日本時間）に、管理画面のログイン画面を1回開いた
結果：約6秒で 7.1.4 になった
手元の WordPress（公式の zip で入れた 7.1.3 日本語版）の記録（2026年10月29日、Sorabun が試した）
時刻（日本時間）
起きたこと
17:15:36
管理画面のログイン画面を開いた
17:15:37
WordPress の定期処理（wp-cron.php ）が始まり、最新版を確かめた
17:15:39
7.1.4 の日本語版を取ってきて広げた
17:15:42
本体のファイルが 7.1.4 に書き換わった（ここまで約6秒）
17:16:44
管理者宛ての「更新が完了しました」のメールを送ろうとした・データベースの更新
記録は、簡易サーバーのログと、書き換わったファイルの時刻です。こちらがしたのは、ログイン画面を開いたことだけでした。
手元の WordPress（公式の zip で入れた 7.1.3 日本語版）の「ダッシュボード → 更新」（2026年10月29日、Sorabun が撮影）
そのあと「ダッシュボード → 更新」を開くと「現在のバージョン: 7.1.4」。「このサイトは WordPress の新しいバージョンごとに自動的に最新の状態に保たれます。」と出ていました。あなたのサイトでも、この画面で今の版を確かめられます。
なお、6秒は手元の1回の結果です。いつ始まるかは、サイトの定期処理がいつ動くかで変わります（5章）。
公式の説明：小さな版は、初めから自動
WordPress Developer Resources「Upgrading WordPress」（Configuring Automatic Background Updates）
公式の説明では、自動のバックグラウンド更新は WordPress 3.7 で入り、「By default, automatic updates of WordPress are enabled on most sites.（ほとんどのサイトで、初めから自動更新が有効）」です。本体の更新は、版の大きさで扱いが分かれます。
本体の版
初めの設定で自動？
小さな版（メンテナンスとセキュリティ。7.1.4 など）
自動（WordPress 3.7 から）
大きな版（7.1 → 7.2 など）
5.6 以降に新しく入れたサイトは自動。それより前から使っているサイトは、管理者が有効にしたときだけ
手元の試験のサイトは新しく入れたサイトなので、大きな版の自動更新まで有効になっていました。7.1.4 は小さな版なので、古くから使っているサイトでも、初めの設定のままなら自動更新の対象です。
更新されると、管理者にメールが届く
手元の WordPress 7.1.4 が自動更新のあとに作るメール（送らずに取り出した。2026年10月29日、Sorabun が試した）
自動で更新されると、WordPress は管理者にメールを送ります。手元でその中身を取り出すと、件名はサイトの名前のあとに「WordPress 7.1.4 へのサイト更新が完了しました」、本文には「何もする必要はありません。」と書かれていました。届く先は「設定 → 一般」の管理者のメールアドレスです。
5. 同じ 7.1.3 でも、自動で更新されないサイト
ところが、もう1つの手元のサイトは、7.1.3 のままでした。
手元の2つの WordPress（2026年10月29日、Sorabun が試した）
同じ日・同じ PHP で、違いは入れ方だけです。こちらは git（ファイルの変更を管理する道具）で入れたサイトでした。
手元の WordPress（git で入れた 7.1.3）の「ダッシュボード → 更新」（2026年10月29日、Sorabun が撮影）
画面には「サイトはバージョン管理されているようです。自動更新は無効化されています。」。その下に「バージョン 7.1.4-ja に更新」のボタンがあります。こう出ているサイトは、だれかがボタンを押すまで、古い版のままです。
公式の説明でも、自動更新は「unless WordPress detects a version control checkout（WordPress がバージョン管理の印を見つけないかぎり）」とされています。git などで本体を管理しているサイトは、開発の仕組みで更新する前提だからです。
自動で更新されないことがあるサイト
公式の説明から、当てはまるものをまとめました。
当てはまるサイト
公式の説明
確かめ方
git などで本体を管理している
.git・.hg・.svn などのバージョン管理の印を見つけると、自動更新が止まる
更新の画面に「自動更新は無効化されています」
wp-config.php やプラグインで止めている AUTOMATIC_UPDATER_DISABLED（すべての自動更新を止める）や、WP_AUTO_UPDATE_CORE を false にする設定がある
制作会社やサーバーの管理者に、止めていないか聞く
サーバーの管理ツールで切っている
cPanel・Plesk の WP-Toolkit などでは、自動更新を設定できる
サーバーの管理画面の WordPress の欄
更新のときに FTP の情報を求められる
自動で更新できるのは「If your site is capable of one-click updates without entering FTP credentials」のとき
「今すぐ更新」を押すと、接続の情報を聞かれる
訪問がほとんど無い
定期処理（WP-Cron ）は、ページが開かれたときに動く
更新の画面の版が古いまま
定期処理は、ページが開かれたときに動く
WordPress Developer Resources「Cron」
WordPress の定期処理（WP-Cron ）は、決まった時刻に自分で動くのではなく、ページが読み込まれたときに、予定の時刻を過ぎた仕事が無いかを確かめて動きます（WordPress Developer Resources「Cron」）。手元の試験でも、ログイン画面を開いたことがきっかけでした。だれも開かないサイトでは、自動更新が始まるのが遅れることがあります。
公式は、止めることを強くすすめていない
WordPress Developer Resources「Upgrading WordPress」（Configuration via wp-config.php ）
公式は、小さな版と翻訳の自動更新を、あえて初めから有効にしたと説明しています。サイトを最新で安全に保つ、いちばん良い方法の1つだからで、「disabling these updates is strongly discouraged（これを止めることは、強くすすめない）」とまで書いています。
止めている理由が思い当たらないなら、元に戻すことを考えてください。git などで管理していて止めているサイトは、だれが・いつ手で更新するのかを決めておく必要があります。
6. 古い版のサイトは？ 修正版は25本、サポートは最新版だけ
HelpHub には、古い系列ごとに、22件のうちいくつが当てはまるかと、直った版が書かれています。
HelpHub「Version 7.1.4」・WordPress.org「Releases」を Sorabun が数えた（2026年10月29日）
Releases のページでは、7.0 から 4.7 までの24の系列すべてに、7.1.4 と同じ10月28日付けで修正版が出ていました。7.1.4 と合わせて25本です。
系列
22件のうち当てはまる数
直った版
7.1
すべて
7.1.4
7.0
22
7.0.8
6.9
22
6.9.11
6.8
20
6.8.12
6.7
20
6.7.11
6.6
19
6.6.11
6.5
17
6.5.14
6.4
17
6.4.14
6.3〜5.9
9
6.3.14・6.2.15・6.1.16・6.0.18・5.9.20
5.8〜5.0
6
5.8.19・5.7.21・5.6.23・5.5.24・5.4.25・5.3.27・5.2.30・5.1.28・5.0.31
4.9
4
4.9.35
4.8〜4.7
2
4.8.34・4.7.39
4.6 以前
−
修正は出ない（「WordPress 4.6 and earlier no longer receive security updates.」）
ただし、古い系列への修正は、公式の言葉では「厚意による措置」です。公式は「なお、WordPressの最新版のみが積極的にサポートされています。」とくり返し、Releases のページにも「Only the most recent in the 7.1 series is safe to use and actively maintained.（7.1 の系列の最新版だけが、安全に使えて、手入れされている）」と書かれています。
古い系列を使っているなら、まず表にある直った版になっているかを確かめてください。そのうえで、バックアップをとってから、最新の 7.1 の系列に上げる計画を立てましょう。
7. 今日やること（5つ）
「ダッシュボード → 更新」で、今の版を見る。 7.1.4 なら大丈夫です。古い系列なら、6章の表にある直った版になっているかを見ます 更新が完了したというメールが届いているか探す。 件名は「WordPress 7.1.4 へのサイト更新が完了しました」です 「自動更新は無効化されています」と出ていたら、手で更新する。 git などで管理しているサイトなら、管理している人に頼みます 手で更新する前に、バックアップをとる。 公式も「Before you get started, it’s a good idea to back up your website.」としています。更新の画面にも「更新する前に、データベースとファイルをバックアップしてください。」と出ます。レンタルサーバーの自動バックアップの機能を使ってもかまいません 使っていないアカウントを消す。 寄稿者などのアカウントは、17項目のうち8項目の入口になる権限です
WordPress.org Documentation「Updating WordPress」
国の機関など9つの注意喚起を数えたときも、いちばん多く挙がっていた対策は「更新」でした（9機関の注意喚起を全部読んで数えた記事 ）。プラグインやテーマも含めて、外から確かめたいときは、URLを入れるだけの無料のセキュリティ診断 で、既知の脆弱性が無いかを調べられます。
よくある質問
更新の途中に起きる問題なら、いま更新するのは危なくないですか？
どういうときに起きるのか、詳しいことは公式の発表に書かれていません（悪用の手がかりになるので、この記事でも扱いません）。公式のすすめは、直ちに 7.1.4 に更新することです。不安なら、先にバックアップをとってから更新してください。
プラグインやテーマも、自動で更新されますか？
初めの設定では、特別な場合だけです。公式の説明では、プラグインとテーマの自動更新は、WordPress.org のセキュリティチームが深刻な脆弱性を直すときなどの「special cases」に限られます。7.1.4 は本体の更新なので、プラグインとテーマは「ダッシュボード → 更新」で別に確かめてください。
更新の画面で「メンテナンスリリースとセキュリティリリースのみ」の自動更新にしています。7.1.4 は来ますか？
来ます。7.1.4 は、メンテナンスとセキュリティのための小さな版だからです。この設定で自動にならないのは、7.1 から 7.2 のような大きな版です。
自動更新のメールが届きません。更新されていないのですか？
そうとは限りません。手元の試験では、サーバーにメールを送る仕組みが無かったためメールは届きませんでしたが、本体は 7.1.4 になっていました。公式の説明には、更新のメールを止める設定（auto_core_update_send_email）も載っています。メールの有無ではなく、「ダッシュボード → 更新」の版で確かめるのが確実です。
WordPress のフォルダに .git は無いのに、「バージョン管理されている」と出ます。
公式の説明では、.git・.hg・.svn などの印を「in the WordPress directory or any of its parent directories」、つまり WordPress のフォルダだけでなく、その上のフォルダまで探します。サーバーの上の階層にこうしたフォルダがあると、自動更新が止まることがあります。そのサイトは手で更新するか、サーバーを管理している人に相談してください。
12月に 7.2 が出るなら、それまで待ってもいいですか？
待たないでください。7.2 は12月8日に出る予定（公式の発表）で、それまで 7.1.3 以前のままだと、22件が直っていない状態が続きます。公式は、直ちに更新するようすすめています。
まとめ
WordPress 7.1.4 は、脆弱性22件を直したセキュリティリリース（2026年10月28日）。公式は「直ちにサイトを更新することをお勧めします」としている
HelpHub の17項目のうち8項目は寄稿者以上でログインした人。ログインが要らないものと、本体の更新の途中に起きるものも1項目ずつある
公式の zip で入れた 7.1.3 は、ログイン画面を開いただけで、約6秒で自動で 7.1.4 になった
git などで管理しているサイト、wp-config.php などで止めているサイト、訪問の少ないサイトは、自動で更新されないことがある
古い系列にも修正版が出たが、公式が積極的にサポートしているのは最新版だけ。まず「ダッシュボード → 更新」で版を見る
出典（2026年10月29日に確認）
件数と「だれが悪用できるか」の分け方は、公式のページの本文を私たちが数えたものです（数え方は コンテンツ/wordpress-714-2026 /shots/measure.py）。自動更新の試験は、2026年10月29日に手元の WordPress（公式の zip で入れた 7.1.3 日本語版と、git で入れた 7.1.3）で行いました。
コラムの一覧へ
PHPに
サイトの
【2026年】WordPressの