WordPress 7.1.3 が公開｜7件の脆弱性と、いま確認しておくこと

7.1.3 の基本情報
7件のセキュリティ修正
どれだけ危ないか
見落としがちな「クリティカルなバグ修正」
変更されたファイル
いま確認すること
CVE はこれから
出典（一次情報）

7.1.2 の次が、もう来ました。WordPress 7.1.3 は何を直したのか、そして自分のサイトで何を確認すればいいのか。結論から言うと、7件のセキュリティ修正と4件のバグ修正が入ったメンテナンス＆セキュリティリリースで、速やかに更新しておくのが安全です。ただし「全てを止めてでも今すぐ」という種類の緊急事態ではありません。認証なしで突ける穴は1件だけで、多くは寄稿者以上の権限や管理者の操作が前提になっています。順番に見ていきます。

この記事は、WordPress.org 公式リリースノート・バージョン7.1.3ページ・Patchstack の解説を2026年10月7日に確認してまとめたものです。CVE番号と CVSS スコアは現時点で未公開のため、本文でもその前提で書いています。

7.1.3 の基本情報

まず事実の整理です。公開は2026年10月6日。種別はメンテナンスとセキュリティを兼ねたリリースで、セキュリティ修正7件とバグ修正4件が入りました。
修正は 4.7 以降の全サポートブランチにバックポートされていて、7.1 に上げていないサイトでも、各系統の修正版で対処できます（ただし公式に保守されるのは最新版だけ、という扱いは変わりません）。背景で自動更新が動くサイトは、もう 7.1.3 になっているはずです。同梱パッケージの更新はありません。

7件のセキュリティ修正

公式リリースノートとバージョンページに挙がっている7件を、種類・認証要件・報告者で並べます。認証要件は、その穴を突くのに最低限どのレベルが必要か、という目安です。

#	内容	種類	認証要件	報告者
1	コメント管理画面のストアドXSS（保留コメント経由、モデレーターの操作で発火）	XSS	モデレーターのクリック	Thomas Chauchefoin（Trail of Bits）
2	`WP_Http::make_absolute_url()` の DoS	DoS	寄稿者以上	Anthropic
3	WXR エクスポートの二次SQLインジェクション	SQLi	管理者のエクスポート操作	Anthropic
4	Author 権限で投稿を固定（sticky）にできる権限の不備	権限昇格	著者以上	Anthropic
5	非公開・未公開投稿のコメント情報の漏えい	情報漏洩	認証不要	Ananda Dhakal（Patchstack）
6	Imgur 埋め込みの XSS	XSS	寄稿者以上	Zhengyu Liu、Jingcheng Yang、Gavin Zhong
7	`{status}_{type}` フックのパラメータ偽造によるアクション名衝突	ロジック欠陥	プラグイン依存	Alex Concha（WordPressセキュリティチーム）

内訳を見ると、XSS が2件（コメント管理画面と Imgur 埋め込み）、そこに二次SQLインジェクション、DoS、権限昇格、情報漏洩、フックまわりのロジック欠陥が1件ずつ、という構成です。興味深いのは、7件のうち3件（#2〜#4）を Anthropic が報告している点です。AI 企業がコア脆弱性の報告元に並ぶのは、少し前なら見なかった光景だな、と思います。

どれだけ危ないか

件数だけ見ると身構えますが、落ち着いて認証要件の列を見てください。外部の誰でも、ログインなしで突けるのは #5 の1件（非公開・未公開投稿のコメント情報の漏えい）だけです。残りは、寄稿者以上の権限が要る、管理者がエクスポート操作をする、モデレーターが悪意あるコメントをクリックする、といった前提が付きます。

Patchstack も「できるだけ早く更新を。ただし全てを止めてでもの緊急事態ではない」という評価です。会員登録を開放していて不特定多数に寄稿者以上の権限を配っているサイトや、非公開投稿にコメントを使っているサイトは、相対的に優先度が上がります。逆に、自分ひとりで書いている個人サイトなら、通常の更新サイクルの範囲で淡々と上げれば十分です。なお、現時点で実際の攻撃（in the wild）の報告は確認できていません。

見落としがちな「クリティカルなバグ修正」

今回は、セキュリティだけでなくバグ修正4件も入っています。そのうち1件が、地味ですが効く人には効く修正です。画像アップロードが致命的エラーで失敗する不具合が直りました。一部の媒体が「クリティカルな修正」と見出しに取っているのはこの点で、セキュリティ脆弱性ではなく機能上の不具合のほうです。7.1.2 の運用中に画像アップロードが不安定だった、というサイトは、ここが効く可能性があります。

変更されたファイル

どこに手が入ったかは、バージョンページに出ています。9本です。コメント管理の JS、エクスポート、REST API の投稿コントローラー、カスタマイザー、HTTP、oEmbed、クエリ、投稿まわりと、上の脆弱性の顔ぶれに対応しています。

wp-admin/js/common.js
wp-admin/includes/export.php
wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php
wp-includes/class-wp-customize-manager.php
wp-includes/class-wp-customize-setting.php
wp-includes/class-wp-http.php
wp-includes/class-wp-oembed.php
wp-includes/class-wp-query.php
wp-includes/post.php

wp-admin/js/common.js

wp-admin/includes/export.php

wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php

wp-includes/class-wp-customize-manager.php

wp-includes/class-wp-customize-setting.php

wp-includes/class-wp-http.php

wp-includes/class-wp-oembed.php

wp-includes/class-wp-query.php

wp-includes/post.php

いま確認すること

やることはシンプルです。まず自分のサイトの版を確認して、7.1.3 になっていなければ上げる。WP-CLI が使えるなら2行で済みます。

# 現在のバージョンを確認
wp core version

# 更新（メンテナンスモードを挟むとより安全）
wp maintenance-mode activate
wp core update
wp core update-db
wp maintenance-mode deactivate

# 現在のバージョンを確認

wp core version

# 更新（メンテナンスモードを挟むとより安全）

wp maintenance-mode activate

wp core update

wp core update-db

wp maintenance-mode deactivate

管理画面なら「ダッシュボード → 更新 → 今すぐ更新」です。7.1 に上げていないサイトも、各系統の修正版が出ているので、メジャーアップグレードをせずに修正だけ取り込めます。自動更新が有効なら、すでに当たっているかを wp core version で念のため確かめておくと安心です。
優先して確認したいのは、寄稿者以上の権限を外部の人に配っているか、非公開投稿でコメントを使っているか、の2点です。どちらかに当てはまるなら、更新の優先度は上げてください。

CVE はこれから

一点だけ補足します。この記事を書いている2026年10月7日時点で、7.1.3 の各脆弱性に CVE番号や CVSS スコアはまだ割り当てられていません。公式アナウンスも Patchstack も、個別の深刻度の数値は出していない段階です。おそらく数日のうちに CVE が付くので、番号が出たらこの記事にも追記する予定です。前回の 7.1.2（CVE-2026-87902）のように、後から攻撃が観測される展開もあり得ます。あなたのサイトは、寄稿者権限と非公開コメント、どちらの条件に当てはまりそうですか。そこだけ先に見ておくと、次の一手が決めやすくなります。