【WordPress】7.0.2で重大な脆弱性を修正|対象バージョンと更新確認

WordPress.org は2026年7月17日、セキュリティリリースとして WordPress 7.0.2 を公開しました。今回の更新では、重大(critical)および高(high)深刻度とされる2件の脆弱性が修正されています。WordPressで会社サイト、店舗サイト、ブログ、社内向けの情報サイトを運用している場合は、見た目に異常がなくても、利用中のバージョンを早めに確認して更新状況を確かめることが大切です。

この速報では、公式発表で示された対象範囲、更新後のバージョン、管理者が確認する手順をまとめます。攻撃の具体的な再現手順は扱わず、サイトを安全に運用するための確認と対応に絞ります。

WordPress 7.0.2で何が修正されたのか

WordPress.org の発表によると、今回修正されたのは2件です。1件は特定の条件でSQLインジェクションを起こしやすくする問題、もう1件はREST APIのバッチルート処理に関する混同からSQLインジェクションを経てリモートコード実行につながる可能性がある問題です。いずれも管理画面にエラーが表示されるとは限らないため、「サイトが普通に表示されているから更新は不要」とは判断できません。

項目	公式発表で確認できる内容
公開日	2026年7月17日
WordPress 7.0系の修正版	7.0.2
WordPress 6.9系の修正版	6.9.5
WordPress 6.8系の修正版	6.8.6
7.1ベータ系の修正版	7.1 beta 2
対象外とされる範囲	6.8より前のバージョンは、今回公表された2件の脆弱性の影響を受けないとされています。

ここで注意したいのは、使っているWordPressの系列によって対応する修正版が違う点です。たとえば6.9系を使っているサイトが7.0.2を探す必要はありません。自サイトの系列に合ったメンテナンスリリースへ更新されているかを確認します。

まず確認するべき対象バージョン

WordPress.org の発表では、脆弱性ごとに影響を受ける系列が異なります。6.9系と7.1ベータ系は2件とも対象、6.8系は1件のみ対象です。6.8より前を使用しているサイトは今回の2件については対象外とされていますが、古いバージョンを継続利用すること自体には別のリスクがあります。今回の対象外という説明を、古い本体を更新しなくてよい理由にはしないでください。

利用中の系列	今回確認する修正版	確認の考え方
7.0系	7.0.2	管理画面または更新履歴で7.0.2への更新完了を確認します。
6.9系	6.9.5	2件とも対象のため、更新済みかを優先して確認します。
6.8系	6.8.6	該当する1件の修正を含む版へ更新されているかを確認します。
7.1ベータ系	7.1 beta 2	検証環境も含めてベータ版を更新し、公開環境に使っていないかを確認します。

WordPress管理画面で更新状況を確認する手順

更新を担当している人がいる場合でも、更新通知を見落としたり、自動更新が失敗していたりすることがあります。次の順序で本体の更新状況を確認すると、プラグインだけ更新してWordPress本体を見落とす事故を減らせます。

1. 管理画面へ直接ログインする
   メールの更新案内にあるリンクではなく、普段使っている管理画面URLをブラウザに入力して開きます。偽の管理画面へ誘導するメールに備えるためです。
2. 「ダッシュボード」から「更新」を開く
   画面上部の更新通知だけで判断せず、WordPress本体のバージョン表示を確認します。表示される系列と、上の表にある修正版を照合します。
3. 更新履歴またはホスティング会社の通知を見る
   強制自動更新が有効でも、更新日時や成否を確認します。管理代行・レンタルサーバーの自動更新機能を使っている場合は、その通知メールや管理パネルも見ます。
4. 更新前後の状態を記録する
   会社や複数人でサイトを管理している場合は、確認日時、更新前後のバージョン、担当者、表示確認の結果を残します。問題が起きた際に、何を更新したかを切り分けやすくなります。

更新画面に「最新バージョンです」と表示されていれば、本体についてはひとまず確認完了です。ただし、キャッシュやCDNを使っているサイトでは、公開ページを別ブラウザやシークレットウィンドウで開き、トップページと問い合わせフォームなど主要な導線が動くかも確認してください。

自動更新が有効でも確認したい理由

今回の発表では、影響を受けるバージョンに対して強制自動更新が有効化されていると案内されています。これは早期対応に役立ちますが、すべてのサイトで更新後の確認作業まで不要になるわけではありません。サーバー側のファイル権限、独自の更新制御、古いプラグインとの相性、ステージング環境だけ別設定になっていることなどで、想定どおりに反映されない場合があります。

特に、ECサイト、会員制サイト、問い合わせフォーム、予約システムなどを運営している場合は、更新後に次の点を短時間で確認します。

• 管理画面にログインできるか
• トップページ、主要な固定ページ、記事ページが表示されるか
• 問い合わせやログイン、決済など重要なフォームにエラーが出ていないか
• キャッシュ削除後もレイアウトや画像が崩れていないか
• エラーログや監視サービスに更新時刻以降の異常が出ていないか

すぐに更新できない場合の考え方

互換性の確認や社内承認のために、すぐ本番環境を更新できないケースもあります。その場合でも、放置せず、更新できない理由と実施予定を明確にします。まずバックアップの取得状況、ステージング環境の有無、保守会社またはホスティング会社の対応窓口を確認してください。

検証環境がある場合は、先に同じ系列の修正版を適用して、テーマ、必須プラグイン、フォーム、ログイン機能を確認します。検証後に本番へ反映する手順が取れます。検証環境がない小規模サイトでも、更新前にデータベースとファイルのバックアップを取り、アクセスの少ない時間帯に更新し、主要ページを確認する流れが現実的です。

更新の延期が長引く場合は、管理画面の利用者を必要最小限にし、不要な管理者アカウントを無効化します。また、見覚えのない管理者ユーザー、不要なプラグイン、古いテーマがないかを確認します。ただし、これは今回のWordPress本体の修正に代わる対策ではありません。最終的には、対象の修正版へ更新することが必要です。

プラグイン・テーマの脆弱性と混同しない

WordPressのセキュリティ情報には、本体、プラグイン、テーマ、レンタルサーバーの設定が混在します。今回の発表はWordPress本体に関するものです。プラグインをすべて最新にしていても、本体が6.9.4などのままなら今回の対応としては不十分です。反対に、WordPress本体を更新しても、別のプラグインに問題があればその対処は別途必要です。

確認対象	今回行うこと	見落としやすい点
WordPress本体	利用系列に合う修正版へ更新されているか確認する	プラグイン更新だけで安心してしまうこと
プラグイン	重要なものから更新状況と互換性を確認する	停止中プラグインを放置すること
テーマ	使用中テーマと親テーマの更新有無を確認する	子テーマだけ確認して親テーマを見ないこと
サーバー・CDN	バックアップ、WAF、ログ、キャッシュ設定を確認する	更新失敗や表示不具合を本体の問題と決めつけること

不審な更新メールに注意する

脆弱性の公表直後は、「緊急アップデートが必要」「管理者アカウントを確認してください」などの件名で、WordPress管理者を狙う不審メールが届くことがあります。公式発表を見た直後ほど、焦ってメール内のリンクを開きやすくなります。

更新の確認は、メールのリンクからではなく、普段使っているWordPress管理画面、ホスティング会社の管理パネル、または公式のWordPress.org発表から行ってください。メールやチャットで管理者パスワード、二段階認証コード、サーバーのログイン情報を求められても入力しないことが重要です。

よくある質問

Q. WordPress 6.7以前なら、今回の更新は不要ですか。
今回公表された2件については、6.8より前のバージョンは影響を受けないとされています。ただし、古いバージョンには今回とは別の修正が含まれていない可能性があります。互換性を確認した上で、保守対象のバージョンへ計画的に更新してください。

Q. 自動更新されたようですが、何も確認しなくてよいですか。
少なくとも、管理画面の本体バージョンと更新履歴を確認してください。事業サイトなら、主要ページやフォームが正常に動くかも見ます。自動更新は対応を早める仕組みであり、更新結果を確認する作業まで自動化するものではありません。

Q. プラグインだけ更新すれば対応できますか。
できません。今回の公式発表はWordPress本体の修正です。本体のバージョンが修正版になっているかを確認してください。プラグインとテーマの更新は、別のセキュリティ対策として並行して行います。

Q. 管理会社に任せている場合、何を確認すればよいですか。
管理会社または保守担当へ、利用中のWordPress系列、今回の修正版への更新予定または更新済みか、更新後の表示確認を依頼してください。回答を受けたら、対応日と対象サイトを記録しておくと、後から確認しやすくなります。

公式発表を確認して、更新完了を記録する

対象範囲や修正版の最新情報は、WordPress.org の WordPress 7.0.2 セキュリティリリースで確認してください。更新作業では、対象サイト、更新前後のバージョン、実施日時、確認した機能、担当者を簡単に記録しておくと、次回の緊急更新でも判断が速くなります。

まとめ

WordPress 7.0.2は、2026年7月17日に公開されたセキュリティリリースです。WordPress 7.0系は7.0.2、6.9系は6.9.5、6.8系は6.8.6への更新状況を確認してください。自動更新が有効な環境でも、管理画面でバージョンを確認し、公開ページや重要フォームに異常がないかを見ます。脆弱性情報に便乗した偽の更新案内にも注意し、更新操作は公式の管理画面や正規の管理パネルから行ってください。