WordPress 7.1.1で11件のセキュリティ脆弱性を修正、権限・コンテンツ改ざんや未認証Stored XSSを含む

「WordPress Core」の脆弱性情報。影響バージョンはWordPress 7.1.0および旧サポートブランチ（脆弱性ごとに影響範囲は異なる。WordPress 7.0は11件すべての影響対象）。修正版 7.1.1（旧サポートブランチは対応するセキュリティバックポート版。4.7まで対象） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WordPress Core（WordPress本体）

CVSS / 深刻度

— / High

影響バージョン

WordPress 7.1.0および旧サポートブランチ（脆弱性ごとに影響範囲は異なる。WordPress 7.0は11件すべての影響対象）

修正版

7.1.1（旧サポートブランチは対応するセキュリティバックポート版。4.7まで対象）

脆弱性種別

未認証Stored XSS / 権限・認可不備 / Contributor+任意投稿上書き / 認証済みPath Traversal / Multisite権限問題

脆弱性の概要

WordPress Core 7.1.1が2026年9月17日に公開され、11件のセキュリティ脆弱性が修正されました。未認証訪問者によるStored XSS（コメント承認が前提）、細工URLによるWordPress.orgテーマの自動インストール・プレビュー、MultisiteでSite AdministratorがNetwork-onlyプラグインをネットワーク有効化できる問題、認証済みPath Traversal、Contributor以上による任意投稿上書きなどが含まれます。WordPress.orgはセキュリティリリースとして即時更新を推奨しています。

技術的な内容

公式発表では11件の個別CVE/CVSSは確認時点で公表されていません。7.1.1では、wpautop()を介した未認証Stored XSS、HTML APIのコメント境界突破、カスタムヘッダー対応テーマでのStored XSS、細工URLによる非アクティブテーマの自動インストール・プレビュー、MultisiteでのNetwork-onlyプラグイン有効化に関する権限問題、REST Templates Controllerの認証済みPath Traversal、XML-RPC経由のcustomize_changeset権限チェック回避、Contributor+任意投稿上書きなどが修正されています。WordPress公式ドキュメントでは7.0が11件すべての影響対象とされ、旧ブランチにも必要な修正がバックポートされています。現時点でCISA KEV掲載や信頼できる実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

WordPressを7.1.1以上の最新セキュリティ版へ直ちに更新してください。7.0系や旧サポートブランチを継続する場合は、利用ブランチ向けの最新セキュリティバックポート版を適用してください。自動更新が無効なサイトは手動更新を確認し、影響期間中の不審なテーマ導入・管理操作・Contributor以上による投稿改変・コメント経由の不審スクリプト、MultisiteのNetwork Plugin状態を監査してください。

情報源

• WordPress.org（公式セキュリティリリース・11件の修正内容）
• WordPress.org Documentation（公式バージョン文書・影響ブランチ／バックポート情報）

情報確認日時：2026年9月18日 12:58

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。