2026年9月17日、WordPress 7.1.1が正式にリリースされました。
今回のWordPress 7.1.1は、新機能を追加するメジャーアップデートではなく、セキュリティ上の問題とWordPress 7.1で確認された不具合を修正する「メンテナンス＆セキュリティリリース」です。
WordPress公式によると、今回のアップデートには、
- WordPress Coreのバグ修正：17件
- ブロックエディターのバグ修正：19件
- セキュリティ修正：11件
が含まれています。
特に今回は11件のセキュリティ問題が修正されているため、WordPress公式もできるだけ早くサイトを更新することを推奨しています。
WordPress 7.1.1はセキュリティと不具合を修正するアップデート
WordPress 7.1は2026年8月19日に公開され、メディア処理やブロックデザイン、管理画面など多くの機能が改善されました。
その後、利用者や開発者から寄せられた不具合報告などをもとに、WordPress 7.1.1の開発が進められていました。WordPress開発チームは当初から、7.1.1を7.1で発生した問題やリリース時に延期された問題を修正するメンテナンスリリースとして計画していました。
最終的には通常の不具合修正だけでなく、11件のセキュリティ修正も含むアップデートとして公開されています。
WordPress 7.1.1で修正された主なセキュリティ問題
今回修正された11件には、XSS（クロスサイトスクリプティング）、権限チェック、情報漏えい、パストラバーサルなど、さまざまな問題が含まれています。
コメントを利用した保存型XSS
認証されていない訪問者がコメントを通じてスクリプトを挿入できる可能性がありました。ただし、実際に成立するためにはコメントが承認される必要がある条件付きの問題です。
一部テーマのカスタムヘッダーでStored XSS
カスタムヘッダー機能に対応する一部テーマでは、画像などの設定に関係したStored XSSの問題も修正されました。
Stored XSSは、不正なスクリプトがWebサイト側に保存され、そのページを開いたユーザーのブラウザ上で実行される可能性がある脆弱性です。
REST APIでのパストラバーサル
WordPressのREST APIにあるテンプレート関連処理では、ログイン済みユーザーによるパストラバーサルの問題が修正されています。
パストラバーサルとは、本来アクセスできる範囲を超えてファイルやディレクトリへアクセスされる可能性がある問題です。今回の問題は認証済みユーザーを前提としています。
投稿者以上の権限で投稿を上書きできる問題
Contributor（寄稿者）以上の権限を持つユーザーが、任意の投稿を上書きできる可能性がある問題も修正されました。
外部から誰でも無条件に実行できるものではありませんが、複数のユーザーアカウントを発行して運営しているサイトでは特に注意したい修正です。
非公開投稿の情報が漏れる問題
メディアの添付情報を処理する際の権限確認が不足していたことにより、非公開となっている親投稿のタイトルが表示される可能性がある問題も修正されています。
また、投稿者以上のユーザーから下書きや承認待ち投稿のスラッグが確認できる問題も修正されました。
WordPress 7.1.1では不具合修正も実施
今回の更新はセキュリティだけが目的ではありません。
WordPress Coreでは17件、ブロックエディターでは19件の不具合修正が含まれています。
WordPress 7.1.1のリリース候補版では、例えば次のような問題が修正対象として挙げられていました。
管理画面のモバイル表示が崩れる問題、公開済み投稿が存在しないサイトでWordPress標準サイトマップが404ステータスを返す問題、ブロックスタイルの blockGap が正常に出力されない問題、タブレット表示で管理バーのサイトアイコンとサイト名が重なる問題などです。
セキュリティ対策に加えて、WordPress 7.1をより安定して利用するためのアップデートと考えると分かりやすいでしょう。
WordPress 7.1を使っている場合は7.1.1へ更新を
WordPress公式のリリースアーカイブでは、WordPress 7.1.1が7.1系の最新バージョンとして公開されています。公式サイトでは、最新の7.1系のみが積極的にメンテナンスされるバージョンとして案内されています。
WordPress 7.1を利用している場合は、管理画面から現在のバージョンを確認してください。
更新する場合は、
「ダッシュボード」→「更新」→「今すぐ更新」
からWordPress 7.1.1へアップデートできます。
自動バックグラウンド更新に対応しているサイトでは、自動的に7.1.1への更新が開始される場合もあります。
古いWordPressにもセキュリティ修正を提供
今回の11件の脆弱性は、WordPress 7.1だけに影響するものではありません。
WordPress 7.0は11件すべての影響を受けるとされており、過去のWordPressについても影響する問題に対してセキュリティ修正版が提供されています。WordPress 4.7までの対象ブランチには必要に応じて修正がバックポートされ、4.6以前はセキュリティ更新の対象外です。
実際、公式リリースアーカイブではWordPress 7.0系にも7.0.5が公開されています。
ただしWordPress公式は、積極的にサポートしているのは最新バージョンであることも案内しています。長期間古いWordPressを利用している場合は、テーマやプラグインとの互換性を確認しながら最新版への移行も検討するとよいでしょう。
アップデート前にバックアップを確認
WordPress公式はセキュリティリリースのため速やかな更新を推奨していますが、本番サイトでは事前にバックアップを確認しておくことも重要です。
特に、独自テーマや子テーマを利用している、多数のプラグインを使用している、WooCommerceなどを運営している、独自にPHPをカスタマイズしているといったサイトでは、データベースとファイルを復元できる状態にしてから更新すると安心です。
更新後は、トップページだけでなく、投稿・固定ページの編集、問い合わせフォーム、画像アップロード、ログイン・ログアウト、主要プラグインなどが正常に動作するか確認してください。
WordPress 7.1.1は早めに更新を
WordPress 7.1.1は単純な不具合修正版ではなく、11件のセキュリティ問題を修正する重要なアップデートです。
XSS、パストラバーサル、権限確認の不足、非公開情報の漏えいなど複数の問題が修正されています。WordPress公式もセキュリティリリースであることから、サイトをできるだけ早く更新するよう案内しています。
WordPressサイトを運営している場合は、まず現在のバージョンを確認し、バックアップを確認したうえでWordPress 7.1.1への更新を進めるとよいでしょう。
なお、WordPress 7.1.1は短期サイクルのリリースで、次のメジャーバージョンWordPress 7.2は2026年12月に予定されています。
参考情報
WordPress 7.1.1 Maintenance and Security Release（公式）
WordPress 7.1.1 Documentation
WordPress 7.1.1 メンテナンスとセキュリティのリリース（日本語）