10月28日に、WordPressの新しい版「WordPress 7.1.4」が公開されました。中身はセキュリティの修正です。その1週間前の10月21日には、WordPressを動かしている土台のPHP（ピー・エイチ・ピー）にも、重大な弱点2件を直す更新が出ています。
どちらも「サイトの見た目や使い方が変わる」話ではありません。ただ、WordPressでサイトを持っている人や、会社のWeb担当の人には関係があります。この記事では、何が直ったのか・誰に関係するのか・どこを見ればいいのかを、順番にまとめます。WordPressもPHPも使っていないサイトの人には、今回の2つは関係ありません。
何が変わる？
10月28日：WordPress 7.1.4（セキュリティの修正）
WordPress.orgの発表によると、7.1.4はセキュリティのための更新です。発表に並んでいる修正は12項目あり、そのほかに、WordPressに入っている「ルート証明書」（安全な通信の相手を確かめるための名簿のようなもの）の更新も含まれています。
12項目の多くは「XSS（クロスサイト・スクリプティング）」と呼ばれる弱点です。ひとことで言うと、ページの中に悪いスクリプト（小さな台本）を仕込まれてしまう弱点のことです。ブロック（記事を組み立てる部品）、カテゴリー、画像やプレイリスト、コメントのページ送りなど、いろいろな場所の弱点がまとめて直されました。ほかにも、更新作業の途中に外から命令を動かされるおそれがある弱点や、公開前のカスタマイザー（見た目の設定画面）の変更をログインしていない人に見つけられてしまう弱点などが直っています。
WordPress.orgは、セキュリティのための更新なのですぐに更新するようすすめています。また、修正は今の7.1系だけでなく、4.7系までさかのぼって古い版にも配られます（準備ができしだい）。なお、次の大きな版のWordPress 7.2は、12月8日に出る予定です。
10月21日：PHPの重大な弱点2件を直す更新
PHPは、WordPressをはじめ多くのサイトやシステムを動かしているプログラムの言葉です。php.netの発表によると、PHPに「ログインしていない人から、外から命令を動かされる」重大な弱点が2件見つかり、それを直した版が出ました。直った版は8.5.12・8.4.27・8.3.36・8.2.35です。
PHPの発表では、Webのアクセスを受けているPHPすべてが対象とされています。WordPress.orgも同じ日に「重要なPHPのセキュリティ更新」としてお知らせを出し、これはWordPressの弱点ではないので、WordPressの更新は必要ないとはっきり書いています。直すのは、サーバーに入っているPHPのほうです。
いつから・誰に関係する？
WordPress 7.1.4は10月28日（日本時間では29日）に公開済みです。WordPressでサイトを持っている人に関係します。発表によると、自動の更新に対応しているサイトでは、更新が自動で始まります。
PHPの更新は10月21日に公開済みです。WordPressに限らず、PHPで動いているサイトやシステムを持っている人に関係します。お問い合わせフォームや予約のしくみなど、WordPressではない自社のシステムがPHPで動いている場合も同じです。
ここで大事なのが、PHPのサポートの期間です。PHPの公式ページでは、今もセキュリティの更新が出るのは8.2・8.3・8.4・8.5の4つで、8.1より前の版には、PHPの公式の更新はもう出ません。今回の弱点についてPHPの開発チームは、古い7.4・8.0・8.1向けにも最小限の修正を出していますが、これは自分でPHPを組み立てる人向けのものです。また、8.2もセキュリティの更新が出るのは2026年12月31日までと公式に決まっています。
反対に、WordPressもPHPも使っていないサイト（HTMLだけで作ったサイトなど）には、今回の2つは関係ありません。
何をすればいい？
サイトを持っている人・Web担当の人が見るところは、次の4つです。上から順に確かめれば十分です。
1. WordPressの版を確かめる
WordPressの管理画面で、ダッシュボードの［更新］を開きます。今の版が7.1.4になっていれば、今回の分はすんでいます。古いままなら、そこから更新できます。更新の前には、念のためバックアップを取っておきます。
2. PHPの版を確かめる
WordPress.orgのお知らせでは、PHPの版は管理画面の［ツール］→［サイトヘルス］→［情報］→［サーバー］で見られると案内されています。多くのサーバー会社の管理画面でも確かめられます。ここで、8.5.12・8.4.27・8.3.36・8.2.35のように直った版の番号以上になっているかを見ます。
3. サーバー会社のお知らせを見る
WordPress.orgのお知らせには、サーバー会社がすでにPHPの更新や、攻撃を止める守りの設定（WAF）を進めている場合がある、と書かれています。そのうえで、契約しているサーバー会社のお知らせを確かめて、必要ならPHPを更新するようにすすめています。共用のレンタルサーバーなら、まずはサーバー会社のお知らせと管理画面を見るのが近道です。
一方で、自分の会社でサーバーを直接管理している場合は、PHPの更新はサーバー会社ではなく自分たちの仕事になります。PHPの発表では、Linuxの配布元などには先に修正が渡されているので、使っている配布元の更新を確かめるよう案内されています。
4. 8.1より前なら、上げる計画を立てる
PHPの版が8.1より前だった場合は、今回の弱点に限らず、これから見つかる弱点の修正も公式からは出ません。8.2以上（できれば8.3以上）へ上げる計画を立てます。テーマやプラグインが新しいPHPで動くかどうかは、本番のサイトで切り替える前に、テスト用の環境で先に確かめるのが安全です。
「セキュリティ」と聞くとあせりますが、やることは「版の番号を見る」がほとんどです。番号が合っていれば、それで今回は終わりです。
KAKERUならこう考える
KAKERUでお預かりしているお客様のサイトは、定期的にPHPのバージョンを上げています。PHP8にしたことで問題になったことはありません。また、KAKERUが契約しているサーバーはXSERVERで、新しいPHPへの対応が早いサーバーです。
そのうえで、今回のような更新のときに大事だと考えているのは、「WordPressの更新」と「PHPの更新」を分けて確かめることです。WordPressが最新でも、サーバーのPHPが古いままでは今回のPHPの弱点は残ります。反対に、PHPの弱点のためにWordPressを更新しても、それでは直りません。
もう1つは、8.2のサポートが2026年12月31日で終わることです。今8.2で動いているサイトは、今回の更新で直った版にしたうえで、年内に8.3以上へ上げる準備を始める、という順番で考えると落ち着いて進められます。
KAKERUの関連サービス
サイトの更新を、まとめて任せたい方へ
KAKERUでは、お預かりしているサイトのPHPやWordPressを定期的に更新しています。いまのサイトの状態が気になったら、点検からご相談ください。
注意点
- WordPressの更新の前には、バックアップを取っておく（プラグインによっては、更新のあとに見た目や動きが変わることがある）
- PHPの版を上げるときは、テーマやプラグインが新しい版に対応しているかを先に確かめる。サーバーによっては、PHPの版をサイトごとに切り替えられる
- WordPressの「自動更新」が動くかどうかは、サイトの設定やサーバーの環境で変わる。自動で更新されたと思いこまず、版の番号を目で確かめる
- 古いPHP（8.1より前）向けの最小限の修正は、自分でPHPを組み立てる人のためのもの。レンタルサーバーの利用者が自分で使うものではない
ニュースとしては地味ですが、こういう更新のときに「誰がどこを見るか」を決めておくと、次からはもっと楽になります。
まとめ
- 10月28日：WordPress 7.1.4が公開。セキュリティの修正12項目（多くはXSS）とルート証明書の更新
- 10月21日：PHPの重大な弱点2件を直した8.5.12・8.4.27・8.3.36・8.2.35が公開。WordPressの更新は不要で、直すのはサーバーのPHP
- 確かめる順番は、WordPressの版 → PHPの版 → サーバー会社のお知らせ → 8.1より前なら上げる計画
- PHP 8.2のセキュリティの更新は2026年12月31日まで。WordPressもPHPも使っていないサイトには関係ありません
参考・情報源
- WordPress.org News「WordPress 7.1.4」（2026年10月28日）
https://wordpress.org/news/2026/10/wordpress-7-1-4/
※修正12項目・ルート証明書の更新・自動更新・4.7系までの修正・7.2の予定 - WordPress.org「Version 7.1.4」
https://wordpress.org/documentation/wordpress-version/version-7-1-4/ - WordPress.org News「Critical PHP Security Release」（2026年10月21日）
https://wordpress.org/news/2026/10/critical-php-security-release/
※WordPressの更新は不要・サイトヘルスでの確かめ方・サーバー会社の対応 - php.net News（2026年10月21日「Security advisory: Critical remote code execution vulnerabilities, update now」）
https://www.php.net/archive/2026.php
※直った版・対象・7.4〜8.1向けの最小限の修正 - php.net「Supported Versions」
https://www.php.net/supported-versions.php
※各版のサポートの期間（8.2は2026年12月31日まで） - WordPress.org「Get a faster, more secure website: update PHP today」
https://wordpress.org/support/update-php/
※ 2026年10月29日に確認した内容です。サーバー会社ごとの対応の状況は、各社のお知らせで確かめてください。
ふだんの制作の話や、作ったものの裏側は Instagram と X でも出しています。
2つとも「セキュリティの更新」ですが、直す場所がちがいます。WordPressはサイトの中、PHPはサーバーの側。ここを分けて考えると、誰が何をするのかが見えやすくなります。