Hikosachi 開発チームです。
今回は、WordPress本体（コア）の緊急セキュリティリリース「WordPress 7.1.4」についてお届けします。
7月以降では7回目となるコアのセキュリティリリースで、更新作業そのものに潜んでいたレースコンディション（処理の実行タイミングのずれを突く脆弱性）を含む計22件の脆弱性が修正されています。
今回のポイント
- 2026年10月28日、WordPress本体のセキュリティ・メンテナンスリリース「WordPress 7.1.4」が公開された。
- 今回のリリースでは17件のアドバイザリにまたがる計22件の脆弱性が修正された（一部報道では17件と紹介されているが、複数の報道・セキュリティベンダーPatchstackの集計では22件とされている）。
- 最も注目されているのは、コアの自動更新処理中に使われる一時フォルダ名が推測可能だったことに起因するレースコンディション。更新処理中のごく短い時間帯に、未認証の第三者が展開途中のインストーラーへアクセスできる可能性があったと報告されている（発見者はUmut Bayram氏とされる）。
- 修正版では一時フォルダ名にランダムな文字列を追加し、ディレクトリ一覧を防ぐindex.phpの配置や、作業ディレクトリからwp-config.phpがコピーされてしまう経路の防止など、複数の対策が加えられている。
- 残り21件の多くは、投稿者（Contributor）以上の権限を持つログイン済みユーザーが関与する格納型XSS（Stored XSS）など、悪用の条件が比較的限定的な脆弱性とされている。
- Patchstackはレースコンディションの実際の悪用難易度を「低い（実運用上は悪用が難しい）」と評価している一方、リリース当日から脆弱性を狙った探査的なアクセスが観測されたとも報告しており、速やかな更新が推奨される。
- 本稿執筆時点で、各脆弱性に対応する公式CVE番号はWordPress側からまだ公開されていないとする報道が複数あり、確定的な番号の記載は見送る。
WordPress 7.1.4の詳細
WordPressは2026年7月以降、コアに関わる重大な脆弱性修正のため複数回のセキュリティリリースを行ってきましたが、7.1.4はその最新版にあたります。
今回最も話題になっているのは、サイト管理画面から「更新」を実行した際にWordPress内部で使われる一時フォルダの名前が、更新のたびに変わらず推測しやすい形式になっていた点です。
通常、この一時フォルダにはディレクトリ一覧（フォルダの中身がブラウザから直接見えてしまう状態）を防ぐためのindex.phpが置かれますが、更新処理の後片付け（クリーンアップ）のタイミングによっては、この保護ファイルが先に削除されてしまい、展開途中のインストーラー一式へ外部からアクセス可能になる「隙間の時間」が生じ得たとされています。
この隙間を突けば、ログイン・認証なしにインストール処理を自分が用意したデータベースに対して走らせられる可能性が指摘されていました。ただし攻撃できる時間は更新処理が走っているごく短い間に限られ、Patchstackは「現実的に悪用するのは難しい」と評価しています。
7.1.4ではこの一時フォルダ名に16文字のランダムな文字列を付与し、index.phpによる保護を確実に復元するほか、作業ディレクトリ内のwp-config.phpが誤ってコピーされる経路も塞がれました。
残りの21件はログイン済みユーザー（多くは投稿者権限以上）が関与する格納型XSSが中心で、管理画面での表示内容の消毒（サニタイズ）漏れが主な原因とされています。
WordPress側からは本稿執筆時点で、今回の脆弱性が実際に悪用された事例があるとの公式発表はありません。
一方でPatchstackは、リリース当日のうちにこの不具合を狙ったとみられる探査的なアクセスを観測したとも報告しており、油断はできない状況です。
背景更新（バックグラウンドアップデート）が有効なサイトでは自動的に適用されますが、念のため管理画面の「更新」メニューで7.1.4が適用されているか確認することをおすすめします。
Patchstackによれば、古いバージョン系列（4.7系まで）向けにもバックポート（遡っての修正提供）が行われているため、何らかの事情で最新版へすぐに上げられないサイトでも、まずはマイナーアップデートの適用状況を確認する価値があります。
自社で開発・保守を依頼している制作会社がある場合は、対応状況の確認を依頼するのも一つの方法です。
参照元
- Patchstack: WordPress 7.1.4 Security Release
- Cyber Security News: WordPress 7.1.4 Fixes 22 Security Flaws, Including an Unauthenticated RCE Vulnerability
- HostingSeekers: WordPress 7.1.4 Security Update Fixes 22 Vulnerabilities
- Cyber Kendra: WordPress 7.1.4 Fixes 22 Flaws Including Update-Process RCE
Hikosachiについて
Hikosachiは、WordPressサイトを標的としたサイバー攻撃を検知・遮断するセキュリティサービスです。本件のような更新処理そのものを狙う手口を含め、不審なアクセスパターンの検知・遮断にお役立ていただけます。
サイトのセキュリティ対応に不安がある場合は、WordPressの保守・開発を専門とするアイネクシオ合同会社へのご相談もご検討ください。
