WordPressを利用している方の中には、最近管理画面を開くたびに、
「またWordPressの更新？」
と思っている方もいるのではないでしょうか。
実際、2026年夏のWordPressは更新がかなり立て続けに行われています。
特に気になったのが⋯
まず、2026年7月17日に深刻な脆弱性「wp2shell」にてWordPress7.0.2の緊急リリース。
その翌月、2026年8月6日にWordPress 7.0.3が公開。
そして、そのわずか6日後の8月12日にWordPress 7.0.4が公開されたことです。
そして、どれもセキュリティに関するアップデートです。
「WordPressに急に問題が増えたのか？」
「最近リリースペースが速くなったのか？」
「ホームページを運営している人はどう対応すればいいのか？」
今回はWordPress公式の情報をもとに、できるだけ専門用語を減らして整理してみます。
結論：最近のWordPress更新が多く感じるのには複数の理由があります
先に結論から。
2026年夏にWordPressの更新が多く感じる主な理由は次のとおりです。
- 2026年は年間3回のメジャーリリースに戻す方針になっている
- WordPress 7.0の正式公開が当初予定より延期された
- 一方でWordPress 7.1は8月公開予定のまま開発が進んでいる
- 7.0公開後に複数のセキュリティ問題が見つかり、緊急アップデートが重なった
つまり、単純に「WordPressの品質が急激に悪くなったから更新が増えた」と断定はできません。
もともとのリリース計画と7.0の延期、さらにセキュリティアップデートが同じ時期に重なった結果、非常に更新が多く見える状態になっています。
2026年夏のWordPressは実際に更新間隔が短い
まず最近の流れを見てみましょう。
- 2026年5月20日：WordPress 7.0公開
- 2026年7月17日：WordPress 7.0.2公開
- 2026年8月6日：WordPress 7.0.3公開
- 2026年8月12日：WordPress 7.0.4公開
- 2026年8月19日：WordPress 7.1公開予定
特に7.0.3から7.0.4までは、わずか6日です。
普段から複数のWordPressサイトを管理している制作会社や保守担当者であれば、「最近やけに多いな」と感じても不思議ではありません。
ただし、それぞれのアップデート理由を見る必要があります。
WordPress 7.0.3は複数のセキュリティ問題を修正
WordPress 7.0.3は、2026年8月6日に公開されたセキュリティリリースです。
WordPress公式によると、修正された問題には次のようなものが含まれています。
- ログイン画面に関するXSS（クロスサイトスクリプティング）
- 投稿内で発生する複数のXSS
- マルチサイト環境での権限昇格問題
- パスワード保護された投稿に関する情報漏えい
- 投稿スラッグの列挙
- CSSインジェクション
- メールアドレス確認処理の回避
- URL検証に関するSSRF
などです。
中でもログイン画面に関する問題は、条件によってPHPコード実行につながる可能性も指摘されていました。
WordPress公式も7.0.3を「security release」と位置づけ、速やかなアップデートを推奨しています。
7.0.3は単なる表示崩れなどの修正版ではなく、セキュリティ対策をまとめたアップデートです。
さらに6日後、WordPress 7.0.4が公開
そして2026年8月12日、WordPress 7.0.4が公開されました。
「7.0.3を公開したばかりなのに、もう7.0.4？」と思いますよね。
しかし7.0.4は、7.0.3で発生した不具合を慌てて修正したものではありません。
別のセキュリティ脆弱性が発見されたために公開された緊急性の高いアップデートです。
問題になったのは、一定の条件を満たすWordPressサイトで、悪意のあるファイルをアップロードすることによってサーバー上でコードを実行できる可能性があるというものです。
専門的には「Remote Code Execution（RCE：リモートコード実行）」と呼ばれます。
WordPress 7.0.4の脆弱性が成立する主な条件
今回の問題は、インターネットから誰でも無条件にWordPressを乗っ取れるというものではありません。
主に、
- WordPressでファイルをアップロードできる権限を持っている
- Author（投稿者）以上の権限を持つユーザー
- サーバーでImagickとGhostscriptが利用されている
といった条件が関係します。
WordPress公式は「Authenticated Author+ remote code execution via malicious file upload on sites that use Imagick and Ghostscript」と説明しています。
つまり簡単に言えば、
画像などを処理するサーバー側の仕組みを経由して、悪意のある処理を実行される可能性があった
ということです。
企業サイトのように管理者しかログインできないホームページでは攻撃条件が限定されますが、複数のライターが投稿するメディアや会員投稿型サイトなどでは、より注意が必要な脆弱性です。
危険度の高い脆弱性ではありますが、「WordPressサイトなら誰でも外部から即座に乗っ取れる」という意味ではありません。
攻撃成立には条件があります。
では、なぜ最近WordPressのリリースそのものが速いのか？
今回のようなセキュリティアップデートとは別に、WordPress自体のメジャーアップデートのペースも2026年は速く感じます。
これにはWordPressプロジェクトのリリース方針が関係しています。
WordPress Coreの公式ハンドブックでは、以前からメジャーバージョンについて約4か月ごとのリリースが一つの目安とされていました。
昔の話ですが、WordPress 3.9〜4.7の時期は、各メジャーバージョンが約3〜4か月ほどで公開されていました。
つまり、WordPressにとって年3回程度のメジャーアップデート自体は、特に異常というわけではありません。
2025年がむしろ特殊だった
2025年はWordPress 6.8が「最初で、おそらく唯一のメジャーリリース」とされるなど、通常よりメジャーアップデートが少ない年でした。
その後WordPress Coreの開発者会議では、2026年は年間3回のメジャーリリースというペースに戻す意向が示されています。
そのため、
「2026年になって突然異常な高速リリース方針になった」
というよりも、
2025年が例外的にゆっくりしていて、2026年は従来から想定されていた開発ペースに戻った
と考えるほうが正確です。
さらにWordPress 7.0が延期されたことで間隔が圧縮された
もう一つ重要なのがWordPress 7.0の延期でした。
WordPress 7.0は当初、2026年4月9日に正式公開される予定でした。
しかし開発途中で、リアルタイム共同編集などに関係する重要なアーキテクチャについて、もう少し時間をかけて検討する必要があるとしてリリースが延期されました。
最終的な公開日は2026年5月20日です。
WordPress開発チーム自身も、主要なアーキテクチャの詳細を詰めるために7.0の開発期間を延長すると説明しています。
ところが、次のWordPress 7.1は2026年8月19日公開予定で開発が進められています。
その結果、本来は
4月ごろ：7.0 → 8月：7.1
という約4か月の間隔になるはずだったものが、
5月20日：7.0 → 8月19日：7.1
と約3か月に縮まりました。
そこへ7.0.2、7.0.3、7.0.4というセキュリティアップデートが重なっています。
これが2026年夏に「WordPressの更新が異常に多い」と感じる大きな理由の一つだと考えられます。
WordPressの品質が落ちたと考えるべき？
ここからは私個人の考えです。
今回の状況だけを見て、「WordPressの品質が急激に悪化した」「WordPressはもう危険だから使わないほうがいい」
と結論づけるのは少し違うと思っています。
WordPressは非常に利用者が多く、世界中のセキュリティ研究者から継続的に調査されています。
脆弱性が発見されること自体と、それを速やかに修正・公開することは分けて考える必要があります。
むしろ深刻な脆弱性が発見されたにもかかわらず、次の定期アップデートまで数か月放置するほうが問題です。
一方で、ホームページを管理する側の負担が増えていることは事実です。
WordPressは本体（コア）だけでなく、
- PHP
- プラグイン
- テーマ
- サーバー
- データベース
- 外部ライブラリ
などを組み合わせて動かすため、これら全てのアップデートや互換性を考える必要があります。
今回の7.0.4のように、WordPressだけではなくImagickやGhostscriptといったサーバー側の画像処理まで関係するケースもあります。
WordPressはSEOに強いと言われるCMSですが、
WordPressは「作って終わり」のホームページではありません。
定期的なアップデートと保守を前提に利用する「システム」です。
WordPress利用者はどう対応すればいい？
ITに詳しくない方がすべての脆弱性の内容を理解する必要はありませんが⋯
まずは次の重要な3点を確認しておくことをおすすめします。(他記事で何度も言っておりますが⋯)
1. WordPress本体を長期間放置しない
セキュリティアップデートの場合は、基本的に早めの更新をおすすめします。
特にWordPress公式から「すぐにアップデートしてください」と案内されているものを何か月も放置するのは避けたいところです。
2. 更新前にバックアップを取る
WordPress本体だけを更新しても、利用しているテーマやプラグインとの相性によって不具合が発生することがあります。
データベースとファイルのバックアップを取ったうえで更新するほうが安全です。
3. 管理してくれる人を決めておく
会社のホームページでよくあるのが、
「誰がWordPressを管理しているのかわからない」
という状態です。
制作会社との契約終了後、何年間も更新されていないサイトも珍しくありません。
WordPressを使うのであれば、誰がアップデート・バックアップ・障害対応を担当するのかを明確にしておくことが重要です。
【まとめ】2026年夏は確かに更新が多い。ただし理由があります
2026年夏のWordPressは、確かにアップデートが立て続けに発生しています。
しかし背景を整理すると、
- 2026年は年3回のメジャーリリースへ戻す方針
- 7.0の公開が当初予定より延期された
- 7.1は8月19日公開予定のまま進行
- その間に複数のセキュリティ脆弱性が発見された
- 7.0.3の6日後には別の脆弱性対応として7.0.4が公開された
という複数の事情が重なっています。
そのため、「WordPressが突然不安定になって毎週修正している」と捉えるのは正確ではありません。
一方で私自身、WordPressサイトを制作・保守する立場としては、以前にも増して「ホームページ公開後の保守」が重要になっているとは感じています。
WordPressは便利なCMSですが、アップデートを何年も放置して使えるシステムではありません。
「WordPressのバージョンが古いけれど大丈夫かわからない」
「制作会社と連絡が取れなくなった」
「更新ボタンを押すのが怖くてそのままになっている」
「自社サイトが現在どのような状態なのかわからない」
という場合は、無理に自分で操作する前に一度状況を確認することをおすすめします。
千葉ホームページ相談室では、ホームページの制作だけでなく、既存WordPressサイトの保守・不具合調査・セカンドオピニオンなどのご相談にも対応しています。
「何を頼めばいいのかわからない」という段階でも構いません。
現在のサイトを確認したうえで、必要な対応と、今すぐ対応しなくてもよい部分を整理してご案内します。
参考資料
この記事は2026年8月13日時点で公開されているWordPress.orgおよびMake WordPress Coreの公式情報を中心に確認して作成しています。
- WordPress 7.0.3 Security Release
- WordPress 7.0.4 Security Release
- WordPress 7.0 Development Cycle
- Extending the WordPress 7.0 Cycle
- WordPress 7.1 Release Schedule
- WordPress Core Release Cycle Handbook
- Core Committers Check-in – November 2025
※WordPressのリリース予定や脆弱性情報は今後変更・追加される可能性があります。最新情報はWordPress公式情報をご確認ください。
Service
同じことでお困りでしたら
記事のとおりに進めるのが難しいときは、次のご相談で承っています。
