WordPress 7.1.4がリリースされ、複数のセキュリティ上の脆弱性が修正されました。
今回のアップデートでは、クロスサイトスクリプティング（XSS）や情報漏洩、アクセス権限の不備などに加え、条件によっては外部から任意のプログラムを実行される可能性がある脆弱性も修正されています。
WordPress公式では、今回のリリースをセキュリティアップデートと位置付け、すべての対象サイトに対して速やかな更新を推奨しています。
主な修正内容
複数のクロスサイトスクリプティング（XSS）脆弱性
投稿画面やブロックエディター、カスタマイザー、Interactivity APIなど、複数の機能に存在していたXSS脆弱性が修正されました。
これらの脆弱性は、投稿者や寄稿者など、一定の権限を持つユーザーが悪意のあるコードを埋め込み、別のユーザーが該当ページを閲覧した際に、そのブラウザ上で不正なJavaScriptを実行させる可能性があるものです。
攻撃が成立した場合、管理者の操作を悪用されたり、サイトの内容を不正に変更されたりする危険性があります。
リモートコード実行（RCE）につながる可能性がある脆弱性
WordPress本体の更新処理において、複数の処理が競合する「レースコンディション」と呼ばれる問題が修正されました。
特定の条件下では、この問題がリモートコード実行（RCE）につながる可能性があります。
RCEは、攻撃者がサーバー上で意図しないプログラムを実行できるようになる危険性があるため、特に注意が必要な脆弱性です。
非公開情報の漏洩につながる脆弱性
WordPressのカスタマイザーで保存された未公開の変更内容が、ログインしていない第三者から参照される可能性がある問題が修正されました。
本来公開されるべきではない情報が外部から閲覧される危険性があります。
アクセス権限に関する問題
独自に設定されたユーザー権限によって、本来編集権限を持たない投稿のノートを閲覧・編集・削除できてしまう問題が修正されました。
また、マルチサイト環境におけるユーザー名の出力処理についても、安全性を高める修正が行われています。
その他のセキュリティ修正
上記以外にも、Interactivity API、画像ブロック、プレイリストブロックなどの安全性を高める修正や、同梱されているルート証明書の更新が行われています。
WordPressをご利用の方へ
WordPress 7.1.4はセキュリティ修正を目的とした重要なアップデートです。対象となるサイトでは、速やかに更新することを強く推奨します。
特に、複数のユーザーが投稿・編集を行うサイトや、会員機能を備えたサイト、マルチサイト環境などでは、今回修正された脆弱性の影響を受ける可能性があるため注意が必要です。
また、WordPress本体だけでなく、テーマやプラグインについても最新のセキュリティ更新が適用されているか確認してください。
なお、アップデート前にはバックアップを取得し、更新後はサイトの表示や主要機能に問題がないことを確認することをおすすめします。
セキュリティ対策は、脆弱性が発見されてから対応するだけでは十分ではありません。日頃から自動更新や定期的な確認を行い、脆弱性を放置しない運用が重要です。
対応について
Wordoress保守管理サービスをご利用のお客様またはウェブサイト納品後 3か月未満のお客様
当社で更新済及び簡易的に表示確認済です。
なお、アップデートに伴い予期せぬ不具合が発生する可能性がありますが、その場合は対応の可否も含めてご相談ください。
アップデート前の状態は、毎日の定時バックアップでWordpress本体及びプラグイン・DB含め取得済です。
それ以外のお客様
直ちにデータベースをバックアップした上で、Wordpress本体の更新お勧め致します。