SVN にコミットした直後にあのメッセージが出て、手が止まった人へ。先に書いておきます。何も壊れていません。Release Confirmation の押し忘れでも、SVN タグの切り間違いでも、readme.txt の Stable tag のずれでもありません（このあたりの仕組みはSVN で初めてプラグインを公開した話にまとめています）。2026 年 6 月 5 日から、WordPress.org が公式ディレクトリの全プラグインについて、自動更新を配信前に最大 24 時間とめる仕様に変わりました。私の Rapls PDF Image Creator も、1.0.9.10 をコミットしたところで同じ画面に出くわしました。
表示は「Version 1.0.9.10 will be released to sites in about 24 hours」。困るのは、プラグインページの方はいつも通りすぐ 1.0.9.10 に切り替わるのに、同じ時刻のサイト管理画面は 1.0.9.9 のまま、という食い違いです。これだけ見ると自分のミスを疑いたくなります。私も心当たりを順に潰して、最後に原因が自分ではなく WordPress.org 側だと分かりました。
急いで届けたいなら、手動アップロードで上書きできます
抜け道から先に書きます。配信が止まっているのは更新通知と自動更新のパイプラインだけで、ファイル自体はもう公開済みです。だからプラグインページの「ダウンロード」ボタンが指す zip は、保留中でも新バージョンに切り替わっています。これを落として、管理画面の「プラグイン > 新規追加 > プラグインのアップロード」から上げると、「アップロードしたもので現在のものを置き換えますか」の確認を経て、24 時間待たずに更新できます。私はこの手順を実際に試して、1.0.9.9 を 1.0.9.10 にその場で上書きできました。急ぎのユーザーには、この正規ルートを案内すれば待たせずに済みます。
いつから、なぜ止まるようになったのか
きっかけは 2026 年 4 月 7 日の事件でした。「Essential Plugin」ブランドのプラグイン 31 本が、公式ディレクトリから一斉に消えます。全部に PHP のデシリアライゼーションを悪用する不正なコードが仕込まれていて、影響は最大 40 万サイトと報じられました。手口が嫌らしいところは、買い手がどこにも侵入していない点です。Flippa でプラグインごと買収して正規の SVN コミット権を手に入れ、正規の更新として 191 行のコードを送り込みました。WordPress 6.8.2 互換パッチを装って紛れ込ませ、8 か月は何もせず潜伏していたそうです。鍵を盗むのではなく、鍵ごと買う発想でした。
この事件のあと、もともと 2025 年 8 月に作者向けのオプトインとして用意されていた「Phased Plugin Releases」が、性格を変えます。これは Release Confirmation を有効にした作者だけが、リリース時に 24 時間遅延か即時公開かを選べる任意機能でした。私は使っていませんでした。コミットしたものがすぐ届くことの方に価値を感じていたからです。それが 2026 年 6 月 5 日、Matt Mullenweg 氏の発表で、全プラグイン 65,000 本超に一律適用されるデフォルトへ切り替わりました。保留時間はモデレーターとセキュリティスキャナーによる配信前の確認に充てられると説明されています。遅延は将来的に数分程度まで縮む見込みとされていますが、今は最大 24 時間です。
時系列はこれだけ押さえれば足ります。
- 2025 年 8 月 … 作者が任意で選ぶオプトインとして導入
- 2026 年 4 月 7 日 … Essential Plugin 事件。買収された 31 本に不正なコード、最大 40 万サイトに影響
- 2026 年 6 月 5 日 … 全プラグイン一律の 24 時間保留がデフォルトに
作者と管理者がやることは、ほとんどありません
遅延の対象は自動更新の配信パイプラインだけです。サイト管理者がダッシュボードから手動で更新する分は、今まで通りすぐ当たります。作者側で覚えておくのは次くらいで足ります。なお、公開そのもので最初につまずくのは配信の仕組みより審査で、初回に2回差し戻されたときの指摘8項目を別記事に残しています。
- 通常のリリースは何もしなくていい。約 24 時間後に自動配信される
- セキュリティ修正を急ぐときは plugins@wordpress.org に連絡すれば配信を早められる
- すぐ届けたいユーザーには、さきほどの zip 手動アップロードを案内する
- リリース告知は SVN コミット直後ではなく、配信が始まる頃に合わせる
実害が出るとすれば、最後の告知タイミングです。コミット直後に「新バージョンを出しました」と SNS へ流すと、「更新が来ない」という問い合わせを自分で生むことになります。私は今回から、告知を配信が始まる頃まで遅らせることにしました。
Patchstack の 2026 年の調査では、影響の大きい WordPress の脆弱性のうち、およそ半分が公開から 24 時間以内に狙われ始めるとされています。この遅延は両刃です。怪しい更新を配信前にとめる盾になる一方で、正規のセキュリティパッチが届くのも同じだけ遅れます。それでも私はこの変更に賛成しています。Essential Plugin 事件が見せつけたのは、SVN コミット権を持つ人間がその気になった瞬間、作者側の防御は全部素通しになるという構図でした。作者の善意に頼らない確認の層は、配信側にしか置けません。自分のプラグインのセルフレビューで 35 件の不具合を見つけたこともある身としては、コードは出荷前に疑われるくらいでちょうどいい、というのが正直なところです。
私自身は、次のリリースから告知を配信開始のころまで遅らせます。あなたは、その 24 時間をユーザーに待ってもらいますか。それとも、手動アップロードの抜け道を最初から渡しておきますか。
コメント