BLOG

【9/17緊急】WordPress 7.1.1 公開｜11件のセキュリティ修正・Anthropicが2件通報｜制作会社視点で保守案件の即時対応を解説


公開日

WP 7.1.1 緊急公開｜セキュリティ修正11件・Anthropicが2件通報

2026年9月17日（UTC 19:53）、WordPress コア開発チームより WordPress 7.1.1「Mary Lou」メンテナンス＆セキュリティリリース が公開されました。Core 17件・Block Editor 19件のバグ修正に加え、11件のセキュリティ修正が含まれます。

今回のリリースは公式アナウンスに 「即時アップデートを推奨」と明記されており、4.7系まで全ブランチにバックポートされる大規模な対応です。加えて注目すべきは、11件のうち2件を Anthropic（Claude 開発元）が通報している点。AI企業が OSS セキュリティに深く関わり始めた象徴的な事例といえます。

本記事では、11件の脆弱性の一覧と、シエロデザインが保守案件を運用している制作会社視点で「どの脆弱性を最優先で潰すべきか」「クライアントにどう伝えるか」までを整理します。

サーバーラックとセキュリティイメージ
Photo by Taylor Vick on Unsplash

WordPress 7.1.1 とは？

WordPress 7.1.1 は、2026年8月にリリースされた WordPress 7.1「Mary Lou」に対するメンテナンス＆セキュリティリリースです。7.1系の初回パッチであり、リリースから約1ヶ月で 11件のセキュリティ問題を一括修正しました。author は Aaron Jorbin。

特徴は次の3点です。

  • セキュリティ修正が11件と多い：小規模な .0.1 リリースとしては近年でも上位クラスの規模
  • 4.7系までバックポート：現行の LTS 相当ラインすべてに反映され、古いバージョンを保守している案件も対象
  • Anthropic の関与：Claude 開発元である Anthropic が2件を通報。AI企業による OSS セキュリティ協力が本格化

コア開発チームは「セキュリティリリースにつき、即時アップデートを強く推奨」と明記しています。次期 7.2 は2026年12月予定です。

主要スペック早見表

項目 内容
リリース名 WordPress 7.1.1 Maintenance and Security Release
公開日時 2026年9月17日 19:53 UTC（日本時間 9月18日 04:53）
Author Aaron Jorbin
Core バグ修正 17件
Block Editor バグ修正 19件
セキュリティ修正 11件
バックポート範囲 4.7系まで全ブランチ
推奨対応 即時アップデート
次期リリース 7.2（2026年12月予定）
公式リリースノート wordpress.org/news

修正された11件の脆弱性 一覧

公式リリースノートで公開された11件の脆弱性は以下のとおりです。認証要件と影響範囲で色分けして把握するのが実務上有効です。

# 脆弱性 認証要件 Reporter
1 wpautop() 未認証 Stored XSS 未認証 Rafie Muhammad（Awesome Motive）
2 HTML API set_modifiable_text() Comment Escape — Jeremy Felt
3 カスタムヘッダー Stored XSS 編集権限 Jeremy Felt
4 特定URLで非アクティブテーマの自動インストール&プレビュー 要件検証中 Paulos Yibelo（pwn.ai）
5 Site Admin による Network-only Plugin のネットワーク有効化 Site Admin Jesse McNeil
6 WP REST Templates Controller 認証済み Path Traversal 認証済み Anthropic
7 XML-RPC customize_changeset で edit_css バイパス 認証済み Ben Bidner
8 Contributor+ による任意投稿の上書き（Arbitrary Post Overwrite） Contributor+ Anthropic
9 attachment_submitbox_metadata() 親投稿タイトル漏洩 閲覧権限 HDWSec
10 Contributor+ による Draft/Pending 投稿スラッグ漏洩 Contributor+ hermanhms
11 認証済みユーザー全員によるコメント再親付け 認証済み viridis

特筆すべきは、「未認証」の Stored XSS が1件含まれている点（#1 wpautop）です。認証不要で悪用可能な脆弱性は攻撃者にとって最もコスパが良く、公開が早いほど exploit が出回るリスクが高まります。

Anthropic の WordPress 脆弱性報告 — AI企業と OSS セキュリティ

コードとセキュリティレビューのイメージ
Photo by Michael Geiger on Unsplash

今回のリリースで最も業界的な意味合いが大きいのは、Claude を開発する Anthropic が2件の脆弱性を報告している点です。報告されたのは次の2件です。

  • #6 WP REST Templates Controller の認証済み Path Traversal — REST API 経由でサーバー側の意図しないパスにアクセスされる可能性
  • #8 Contributor+ による任意投稿の上書き（Arbitrary Post Overwrite） — Contributor 以上の権限で他ユーザーの投稿を書き換えられる可能性

いずれも REST API と権限モデルの境界 に関わるバグで、コードリーディングだけで抽出するにはコンテキストが広く、静的解析ツールでも検出が難しい類のものです。AI によるコード解析が「境界チェックの網羅性検証」に強いことが、今回の通報から間接的に示された形といえます。

もちろん Anthropic 側が誰の・どのツールで見つけたかは公表されていません。ただし、AI企業が世界最大の CMS のコアに対して責任ある脆弱性開示（Coordinated Disclosure）を行ったという事実そのものが、AI × OSS セキュリティの新しいフェーズを示すサインとして注目されます。

制作会社としてこの動きを見ておく価値があるのは、「自社が使っているスタック（WordPress / Next.js / Laravel など）に AI ベンダー側から脆弱性通報が入る時代に入った」 という事実です。従来のように「Wordfence がまとめる CVE を追う」だけでは、通報者ラインナップの変化が読み取れなくなってきています。

今すぐ確認すべき3つの脆弱性

11件すべてを同じ温度感で扱うと現場が回りません。シエロデザインの保守運用視点で、特に優先度が高いと判断する3件をピックアップします。

1. wpautop() 未認証 Stored XSS（#1）

最優先で潰すべき1件です。理由は明確で、未認証で悪用が成立する Stored XSS だから。コメント欄・埋め込み・フォーム送信など、ログインしていない訪問者から入力を受け付ける経路が1つでもあるサイトは、シナリオ上リスクが上がります。wpautop() は WordPress のコアヘルパー関数で、投稿本文の改行を <p> 変換する古典的な関数です。ここが XSS の温床になっていたという事実は、コア関数といえど過信できないことを示しています。

2. WP REST Templates Controller Path Traversal（#6・Anthropic 報告）

認証は必要ですが、影響範囲が「テンプレートファイル」というサイト構造の根幹に及ぶため優先度が高いです。REST API を有効にしたままにしている案件（つまりほぼ全案件）、および ブロックテーマ / サイトエディタを使っている案件では、権限管理と組み合わせて即時に閉じるべき穴です。

3. Contributor+ Arbitrary Post Overwrite（#8・Anthropic 報告）

複数ライターを抱えるオウンドメディア案件で最も現実的な脅威です。Contributor 権限を渡した外部ライターが他ユーザーの投稿を上書きできてしまう場合、編集フロー・レビュー体制の前提が崩れます。編集部運用のあるサイトは特に要注意です。

【制作会社レンズ】cielo が見る保守案件の対応優先度

ここからは、シエロデザインが実際に保守しているサイト群を運用する立場で、今回のリリースにどう向き合うかを整理します。「見えない AI、見える手仕事」で日々の保守を回している立場としての、実務者トーンでの温度感です。

実装インパクト：全案件、当日〜48時間内アップデート推奨

今回のリリースは、修正件数（11件）とバックポート範囲（4.7系まで）から見て「静観」を選ぶ理由がありません。バックアップ取得後の即時反映が基本方針となります。ステージング環境がある案件はそちらで1度パス → 本番、ない案件は営業日日中の低トラフィック帯に反映という原則で問題ないレベルです。

特に ブロックテーマ採用サイト（#6 REST Templates 影響）、複数寄稿者を抱えるメディア案件（#8 Post Overwrite 影響）、コメント欄・フォームを開放している B2C サイト（#1 wpautop XSS 影響）は最優先で当日中に反映すべきラインです。

SEO・GEO 影響：直接的リスクは低い、ただし XSS 汚染は Google が敏感

WordPress コアアップデート自体は SEO へネガティブな影響を与えません。ただし Stored XSS を放置して被害を受けた場合、Google Safe Browsing 側で「危険なサイト」判定 → SERP から警告表示 → 実質的な流入停止 という最悪シナリオがあります。SEO 保守を担う制作会社としては、順位以前に「安全性を担保している」ことが前提条件だと明確にクライアントへ伝える必要があります。

クライアント提案トーン：「対応します」の一言で済ませない

保守契約があるクライアントに対しては、次のフォーマットで一報を入れる運用が現実的です。

  • 本日 WordPress 7.1.1 が公開されたこと
  • セキュリティ修正が 11件含まれ、公式が即時アップデートを推奨していること
  • 御社サイトへの適用予定時刻（例：本日 18:00 〜 21:00 の低トラフィック帯）
  • バックアップ取得済み・ロールバック可能である旨
  • 作業完了後の動作確認範囲（管理画面ログイン・トップ表示・お問い合わせフォーム送信・記事詳細表示 等）

「対応しました」の事後報告ではなく、事前予告＋事後確認レポートまでを1セットとするのが、シエロが実装している標準運用です。

即時アップデート手順（バックアップ手順込み）

サーバーとネットワーク作業のイメージ
Photo by Taylor Vick on Unsplash

制作会社視点での標準手順は以下の5ステップです。

  1. フルバックアップ取得：WPvivid / UpdraftPlus 等でデータベース＋ファイルの完全バックアップを取得。ローカルにダウンロードするところまでを 1セット。
  2. ステージングで先行検証：ステージング環境があればそちらで ダッシュボード → 更新 から 7.1.1 を適用し、主要ページ・フォーム・管理画面ログインを動作確認。
  3. 本番反映：低トラフィック帯（夜間〜早朝、または休憩時間帯）に本番へ適用。ワンクリック更新で完了。
  4. プラグイン互換性チェック：更新直後は管理画面 → プラグイン → 一括更新も同時実施が推奨。バージョン整合を揃える。
  5. 動作確認レポート化：トップ / 主要下層 / お問い合わせフォーム / 管理画面ログイン / メディアアップロード の5点を目視確認し、クライアントへ完了報告。

WP-CLI が使える環境なら次のワンライナーが最短です。

wp core update --version=7.1.1 && wp plugin update --all && wp theme update --all

ただし本番投入前に必ずステージングでのテストを挟むこと。7.1.1 は Block Editor に 19件の修正が入っており、稀に既存カスタムブロックの挙動差分が発生する可能性があります。

FAQ

Q. WordPress 7.1.1 はいつ公開されましたか？

A. 2026年9月17日 19:53 UTC（日本時間9月18日 04:53）に公開されました。author は Aaron Jorbin です。

Q. WordPress 7.1.1 のセキュリティ修正は何件ですか？

A. 11件です。うち1件は未認証で悪用可能な Stored XSS（wpautop 関連）で、2件は Anthropic による報告です。

Q. Anthropic が報告した2件はどのような脆弱性ですか？

A. WP REST Templates Controller の認証済み Path Traversal（#6）と、Contributor 以上権限による任意投稿の上書き（#8）です。いずれも REST API と権限モデルの境界に関わるバグです。

Q. どのバージョンまでバックポートされていますか？

A. WordPress 4.7系まで全ブランチに反映されています。古いバージョンを保守している案件も対象です。

Q. 今すぐアップデートすべきですか？

A. 公式が「即時アップデート」を推奨しています。フルバックアップ取得後、ステージング検証を経て本番反映が推奨される流れです。

Q. 次期 WordPress 7.2 はいつリリースされますか？

A. 2026年12月に予定されています。

参考メディア・出典一覧

まとめ

WordPress 7.1.1 は、単なる小規模パッチではなく、11件のセキュリティ修正と AI企業による責任ある開示という2つのトピックを含む重要リリースです。制作会社としては次の3点を最優先で押さえておきたいところです。

  1. 当日〜48時間内での全案件アップデート：特にブロックテーマ・複数寄稿者メディア・コメント欄開放サイトは優先
  2. クライアントへの事前予告＋事後確認レポート運用：「対応しました」だけで済ませない
  3. AI企業が OSS 脆弱性を通報する時代への認識アップデート：Wordfence / Patchstack 以外の情報源にも網を広げる

次期 7.2 は2026年12月予定。それまでの間、7.1系は本パッチが安定運用の基準版になります。

cielo の WordPress 保守サービス

シエロデザインでは、WordPress で構築されたコーポレートサイト・メディア・オウンドコンテンツの保守運用を継続的にサポートしています。今回の 7.1.1 のようなセキュリティリリース時は、契約サイトに対し事前予告 → バックアップ → ステージング検証 → 本番反映 → 動作確認レポート までを1セットで運用しています。

「更新は自社で回しているが、セキュリティリリース時だけスポットで見てほしい」といったご相談も可能です。お問い合わせよりお気軽にご連絡ください。

あわせて読みたい

この記事を書いた人

佐藤 広樹

WEBディレクター

佐藤 広樹 Sato

仕事を通じて出会った方から「人から学ぶ」ことを大切に、AIやWEBから得られない知見を吸収するよう意識しています。

スタッフ紹介はこちら →

シエロデザインのサービス

01 CIELO GROW Web戦略チーム支援 Web戦略室を社内に構築・定着させるチームビルディング支援 02 CIELO MARKETING Web集客施策 Web広告の戦略、運用代行やSNS運用 03 CIELO SUPPORT Webサイト更新保守 更新対応・サイト管理・レポート作成 04 CIELO CREATIVE デザイン制作 Webサイト・グラフィックデザイン・動画制作

サービス一覧を見る →

お問い合わせ

Webサイト制作・保守・広告運用・Web戦略チーム支援など、私たちシエロデザインが伴走できる領域はさまざまです。
「うちの場合どうすれば？」というご相談も、まずはお気軽にお声がけください。

お問い合わせフォームへ →