2026年9月22日、WordPress 7.1.2が正式にリリースされました。
今回のWordPress 7.1.2は、新しい機能を追加するアップデートではありません。Critical（重大）と評価されたセキュリティ脆弱性1件を修正するためのセキュリティリリースです。
WordPress公式は、この問題の重要性からサイトを直ちに更新することを推奨しています。
特に注目したいのは、WordPress 7.1.1が9月17日に公開されたばかりにもかかわらず、わずか5日後に7.1.2が公開されたことです。
なぜこれほど短期間で再び更新が必要になったのでしょうか。
WordPress 7.1.2は2026年9月22日にリリース
WordPress公式によると、WordPress 7.1.2は2026年9月22日に公開されました。
今回修正されたセキュリティ問題は1件ですが、重要度はCriticalとされています。
脆弱性には、
CVE-2026-87902
という識別番号が付けられており、GitHubのWordPress公式Security AdvisoryではCVSS 9.2／10と評価されています。
修正対象となったのは、WordPressがページテンプレートを探す処理に関係する問題です。
WordPress 7.1.1からわずか5日で7.1.2が公開された理由
WordPress 7.1.1は2026年9月17日に公開されました。
7.1.1では、WordPress Coreの不具合修正17件、ブロックエディターの不具合修正19件、セキュリティ修正11件が行われています。
そして、そのわずか5日後の9月22日にWordPress 7.1.2が公開されました。
非常に短い間隔ですが、7.1.1のアップデートそのものに重大な不具合があり、それを修正するために7.1.2が公開されたという意味ではありません。
7.1.1とは別に、ページテンプレートの処理に関する新たな重大な脆弱性が責任ある形で報告され、その修正を通常のアップデートまで待つべきではないと判断されたため、7.1.2がセキュリティリリースとして早急に公開されました。
つまり、
WordPress 7.1.1
→ 不具合17件＋ブロックエディター19件＋セキュリティ11件を修正
WordPress 7.1.2
→ 新たに確認されたCriticalレベルのセキュリティ問題1件を緊急修正
という違いがあります。
短期間で更新が続いたのは、WordPress 7.1.1の修正ミスというより、新たに確認された重大なセキュリティ問題へ迅速に対応した結果と考えるのが適切です。
WordPress 7.1.2で修正された脆弱性とは
今回修正されたのは、ページテンプレートを決定する処理に存在した認証不要のパストラバーサルに関する脆弱性です。
WordPress公式によると、攻撃者がWordPressへログインしていない状態でも、一定の条件下で、本来のテーマディレクトリ外にある読み取り可能なPHPファイルをページテンプレートの処理に含められる可能性がありました。
さらにサーバー環境と使用中テーマの条件がそろった場合には、リモートコード実行（RCE）につながる可能性があります。
パストラバーサルとは
パストラバーサルとは、Webアプリケーションのファイルやディレクトリを指定する処理の不備を利用し、本来アクセスできない場所のファイルへアクセスされる可能性がある脆弱性です。
今回の場合はWordPressのページテンプレートを探す処理が関係しています。
WordPress公式Security Advisoryでは、脆弱性の名称を、
「Unauthenticated path traversal in page-template resolution leading to conditional RCE」
としています。
簡単に言えば、ログインしていない第三者からページテンプレートの処理を悪用され、条件によってはサーバー上で不正なコードを実行される可能性があった問題です。
リモートコード実行（RCE）とは
RCEは「Remote Code Execution」の略で、日本語ではリモートコード実行と呼ばれます。
Webサイトから離れた場所にいる攻撃者が、脆弱性を利用してサーバー上で不正なコードを実行できる可能性がある状態を指します。
攻撃が成立した場合には、条件によって、
- Webサイトの改ざん
- 不正ファイルの設置
- サーバー内の情報へのアクセス
- マルウェアなどの設置
- さらなる攻撃への悪用
などにつながる可能性があります。
今回の脆弱性が「Critical」と評価されている理由のひとつです。公式Security AdvisoryではCVSSスコアが9.2とされています。
すべてのWordPressサイトが無条件で攻撃されるわけではない
「Critical」「RCE」と聞くと、WordPress 7.1.1を使っているだけですぐに攻撃されるように感じるかもしれません。
しかし、今回の脆弱性が実際にRCEへつながるには、サーバー環境や利用しているテーマについて一定の条件がそろう必要があります。
WordPress公式Security Advisoryでは、例えばアクティブな親テーマまたは子テーマに、名前が page- で始まるトップレベルディレクトリが存在することが条件のひとつとして挙げられています。
公式資料では、古い標準テーマのTwenty Twelve、Twenty Fourteenのほか、一部のサードパーティテーマも該当例として示されています。
ただし、自分のサイトが条件に該当するかを調べてから更新するのではなく、WordPress公式が推奨している通り7.1.2へ更新することが基本的な対策です。
WordPress 7.1.2では変更ファイルも限定的
WordPress 7.1.2の公式Documentationによると、今回修正されたWordPress本体のファイルは、
/wp-includes/template.php
です。
パッケージの変更もありません。
つまり今回は、新しい機能や多数の不具合をまとめて修正したアップデートではなく、今回確認されたセキュリティ問題への対応に絞ったアップデートであることが分かります。
WordPress 7.0など古いバージョンにも修正版を提供
今回の問題はWordPress 7.1.1だけに影響するものではありません。
WordPress公式では、WordPress 7.0系にも修正版の7.0.6、6.9系には6.9.9、6.8系には6.8.10などを公開し、WordPress 4.7までの対象ブランチへ修正をバックポートしています。
一方、WordPress公式は、積極的にサポートしているのは最新バージョンのみとも案内しています。
古いWordPressを利用している場合は、今回のセキュリティ修正版を適用するだけでなく、テーマやプラグインとの互換性を確認しながら最新バージョンへの移行も検討するとよいでしょう。
WordPress 7.1.2へのアップデート方法
WordPress 7.1.2への更新方法は、通常のWordPressアップデートと同じです。
WordPress管理画面から、
「ダッシュボード」→「更新」→「今すぐ更新」
を選択します。
自動バックグラウンド更新に対応しているサイトでは、自動的にWordPress 7.1.2への更新が開始される場合があります。
まずは管理画面を開き、現在使用しているWordPressのバージョンを確認してください。
更新前にはバックアップを確認
今回の7.1.2はセキュリティリリースなので早めの更新が重要ですが、本番サイトでは更新前にバックアップを確認しておくと安心です。
特に、
- 独自テーマや子テーマを使用している
- 多数のプラグインを利用している
- WooCommerceなどを運営している
- PHPやWordPressを独自にカスタマイズしている
といったサイトでは、WordPressファイルとデータベースを復元できる状態にしてから更新するとよいでしょう。
更新後は、トップページだけでなく、投稿・固定ページの表示や編集、問い合わせフォーム、画像アップロード、ログイン、主要プラグインなども確認します。
WordPress 7.1.2は早めの更新を
WordPress 7.1.2は、新機能追加や一般的な不具合修正を目的としたものではありません。
Criticalと評価されたセキュリティ脆弱性「CVE-2026-87902」を修正するためのセキュリティアップデートです。
WordPress 7.1.1の公開からわずか5日後の更新となりましたが、7.1.1の修正に失敗したからではなく、別の重大な脆弱性が確認されたため、通常の更新周期を待たずに修正版が公開されたというのが今回のポイントです。
実際の攻撃成立には一定の条件がありますが、WordPress公式はサイトを直ちに更新することを推奨しています。
WordPressサイトを運営している場合は、現在のバージョンを確認し、バックアップを確認したうえでWordPress 7.1.2へ早めに更新しておくとよいでしょう。
参考情報
WordPress 7.1.2 Release｜WordPress.org
WordPress Version 7.1.2｜Documentation
CVE-2026-87902 / GHSA-7hp8-65ch-5whp｜WordPress Security Advisory
WordPress.org 日本語 リリースアーカイブ