WordPress 7.1.4で直った弱点、「悪用が確認された」と発表されました｜まだ更新していないサイトと、更新したサイトで確かめること

2026年10月28日に、WordPressの7.1.4が公開されました。

その中で直された弱点の1つについて、11月3日、アメリカの政府機関CISAが「実際の攻撃に使われている」と発表しました。

「うちのサイトは自動で更新されているはず」

「更新したけれど、それで終わりでいいの？」

この記事では、まだ更新していないサイトと、更新が済んだサイトで、それぞれ確かめることをまとめました。

■何が発表されたのか

・CISAは、悪用が確認された弱点を一覧で公表している

・11月3日、WordPress本体の弱点がその一覧に加わった

・WordPress本体を更新している最中のすきを突き、外からサーバーで勝手な処理を動かされるおそれがある

この弱点は、7.1.4で直されています。

WordPressの公式の発表でも、すぐに更新するよう呼びかけられています。

■自分のサイトの版を確かめる

1. WordPressの管理画面にログインします

2. 左のメニューの「ダッシュボード」から「更新」を開きます

3. 「最新バージョンのWordPressをお使いです」と出ていれば、7.1.4以降です

画面の下のほうにも、使っている版の番号が出ています。

■古い系統を使っている場合

WordPressは、4.7以降の古い系統にも、直した版を順に出しています。

古い系統のまま使っている場合は、その系統の最新の版になっているかを確かめましょう。

ただし、きちんと支えられているのは最新の版だけです。

古い系統のままにしている理由がなければ、最新へ上げる計画を立てましょう。

■まだ更新していないとき

・更新の前に、サイトとデータベースの控え（バックアップ）を取る

・お知らせやお問い合わせの入力が少ない時間に、更新する

・更新したら、主なページとお問い合わせフォームが動くかを確かめる

自動の更新が止まっている理由が分からない場合は、無理に進めず、管理している人に確かめてもらいましょう。

■更新が済んでいても、確かめたいこと

CISAは、この弱点を「入り込まれた跡がないかの確認も必要」なものとして扱っています。

更新の前に入り込まれていた場合、更新しただけでは消えません。

・ユーザー一覧に、知らない管理者が増えていないか

・見覚えのないプラグインやファイルが増えていないか

・ホームページに、知らない広告や別のサイトへの移動が出ていないか

・サーバー会社から、改ざんやウイルスの知らせが来ていないか

■おかしな点を見つけたら

・知らない管理者は、消す前に名前と作られた日を控える

・管理画面とサーバーのパスワードを変える

・サーバー会社に、ウイルスの検査の結果を問い合わせる

・どこまで入り込まれたか分からないときは、専門家に見てもらう

あわてて消すと、何が起きたのかを確かめにくくなります。

まずは、見たものを写真やメモで残しましょう。

■自分ですることと、頼むことを分ける

担当の方が管理画面でできること：

・版の番号を確かめる

・ユーザー一覧とプラグインの一覧を見る

・主なページとお問い合わせフォームを開いてみる

管理している人やサーバー会社に頼むこと：

・バックアップを取ってからの更新

・サーバーの中の、見覚えのないファイルの確認

・ウイルスの検査と、その結果の確認

レンタルサーバーを使っていても、WordPress本体の更新は、サイトの持ち主がすることです。

サーバー会社が自動で更新してくれる設定があるかどうかは、契約しているサーバーの管理画面で確かめましょう。

■やってはいけないこと

・「小さなサイトは狙われない」と、更新を後回しにする

・控えを取らずに、まとめていくつも更新する

・おかしな点に気づいたのに、そのまま使い続ける

攻撃の多くは、機械が自動で弱いサイトを探して行われます。

会社の大きさとは関係なく、更新されていないサイトが狙われます。

■頼むときに伝えること

・ホームページのアドレス

・今のWordPressの版

・最後に更新した日（分かれば）

・気になる症状と、気づいた日

・WordPressとサーバーにログインできる人

この5つが分かれば、更新だけで済むか、入り込まれた跡の確認まで要るかを決めやすくなります。

■自分で確かめるチェックリスト

・WordPressが7.1.4以降になっている

・古い系統の場合、その系統の最新になっている

・ユーザー一覧に、知らない管理者がいない

・見覚えのないプラグインがない

・主なページとお問い合わせフォームが動く

■よくある質問

Q. 自動更新がオンなら、何もしなくていいですか？

A. 自動更新が止まっていることもあります。一度、版の番号を自分の目で確かめてください。

Q. 更新したら、サイトが崩れませんか？

A. 7.1.4は小さな修正の版なので、崩れることは多くありません。念のため、控えを取ってから更新しましょう。

Q. 入り込まれたかどうかは、自分で分かりますか？

A. 目で見て分かることもありますが、分からない形で残ることもあります。気になるときは、専門家に確かめてもらいましょう。

■おかしな点が見つかった方へ

更新が済んでいて、上の確認でも気になる点がなければ、この手順で十分です。

「知らない管理者がいた」「サイトに見覚えのない表示が出る」という場合は、乗っ取りや改ざんを受けたWordPressの復旧をお受けしています。

何が起きたかを確かめたうえで、元に戻す順番を決めます。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914