WordPress 7.0.4公開｜自社サイトで今すぐ確認したい3点

2026年8月12日、WordPressの最新版「7.0.4」が公開されました。複数の脆弱性を修正するセキュリティ更新です。まず確認すべきは、あなたのサイトが今どのバージョンで動いているか。7.0.4へ更新し、あわせて自動更新の設定・プラグイン・テーマ・バックアップも点検してください。この記事では、開発者でなくても自分で確認できる粒度で、今やるべきことを手順にまとめます。

WordPress 7.0.4で何が起きたのか

WordPress 7.0.4は、2026年8月12日にWordPress.orgが公開したセキュリティ更新です。翌8月13日には、日本のセキュリティ機関であるJPCERT/CCも週次の注意喚起で「WordPressに複数の脆弱性」として取り上げています。つまり、WordPress本体の開発元と、国内の公的な注意喚起の両方が、ほぼ同時に「更新してください」と発信している状況です。

一次ソースは次の2つです。必ずご自身の目でも確認してください。

• WordPress.org News「WordPress 7.0.4 Release」（2026年8月12日公開）
• JPCERT/CC Weekly Report「WordPressに複数の脆弱性」（2026年8月13日公開）

ここで正直にお伝えします。本記事の執筆時点で、当社は修正された個々の脆弱性の技術的な詳細（対象範囲・深刻度・攻撃の実例）を独自に検証できていません。修正された脆弱性の一覧や識別番号（CVE等）は、上記の公式告知でご確認ください。件数や深刻度を推測で語ることはしません。発注側にとって大事なのは技術的な内訳の暗記ではなく、「開発元が出したセキュリティ更新は、内容がすべて分からなくても早く当てる」という当たり前の対応です。

この章の持ち帰り：まず一次ソース2本をブックマークし、社内で「7.0.4というセキュリティ更新が出た」という事実だけ共有してください。詳細が分からなくても、次章以降の対応は進められます。

これはあなたのサイトにどう影響するのか（AliveCastの見解）

結論から言うと、WordPressで作られたサイトなら、規模や業種に関係なく「自分ごと」です。WordPressは世界のサイトの多くで使われている分、脆弱性が公開されると攻撃者にとっても「どこを狙えばいいか」が一斉に共有されます。更新は情報の公開レースであり、公表後に手を打たないほど不利になります。

なぜ中小企業のサイトほど注意が必要か。当社がWeb制作・保守の現場で見てきた実感として、被害は「重要な会社」から順に起きるのではなく、「更新が止まっていて入りやすい会社」から起きます。攻撃の多くは人間が狙い撃ちするのではなく、プログラムが自動でインターネット中の古いサイトを巡回し、既知の穴が空いたままのサイトを機械的に見つけて侵入します。訪問者が少ないサイトでも、乗っ取られて迷惑メールの踏み台や別サイトへの誘導に使われれば、あなたの会社のドメイン（信用）が汚れます。

もう一つ、発注側が見落としがちな影響があります。それは「本体だけ新しくても安全とは限らない」という点です。WordPressサイトは本体・プラグイン・テーマの三層でできています。本体を7.0.4にしても、古いプラグインやテーマに穴が残っていれば、そこから入られます。逆に、本体の更新を長く放置していると、いざ更新したときにプラグインとの相性で表示が崩れることもあります。だからこそ、日頃から少しずつ更新しておくことが、結果的に事故を減らします。

この章の持ち帰り：「うちは小さいから狙われない」という前提は捨ててください。判断基準は会社の規模ではなく、「更新が止まっているかどうか」です。

「自動更新にしているから大丈夫」は本当か

WordPressは、7.0.4のような小さなバージョン（セキュリティ・不具合修正）を自動で適用する仕組みを標準で持っています。多くのサイトでは、公開から数日のうちに自動で7.0.4が当たっている可能性が高いです。これは心強い仕組みです。

ただし「自動更新をオンにしているつもり」と「実際に当たっている」は別問題です。当社の見解として、次のような理由で自動更新が止まっている、あるいは効いていないサイトは珍しくありません。

• 制作時に、表示崩れを避ける目的で自動更新をあえて切っている
• レンタルサーバーやセキュリティ系プラグインの設定が、本体の自動更新に干渉している
• 過去に更新でエラーが出て、その後止めたまま忘れられている

ですから「自動だから大丈夫」で終わらせず、一度だけ実際のバージョン番号を目で見て確認してください。確認の結果すでに7.0.4になっていれば、それが自動更新が正しく効いている何よりの証拠です。この「思い込みで済ませず、実際の値を1回見る」という習慣が、セキュリティでは一番効きます。

この章の持ち帰り：自動更新の設定画面を見るのではなく、「今のバージョンが7.0.4か」という結果を見てください。設定と結果は一致しないことがあります。

あなたのホームページで今日やること

開発者でなくてもできる範囲を、順番に示します。管理画面（多くは「サイトURL/wp-admin/」）にログインできる担当者を1人決めてから始めてください。

1. バックアップを取る（最優先）。更新は基本的に安全ですが、まれに表示が崩れます。戻せる状態を作ってから進めるのが鉄則です。バックアップ用プラグインを使っているか、保守を委託しているならバックアップの有無を先に確認してください。
2. 現在のバージョンを確認する。管理画面にログインし、「ダッシュボード」→「更新」を開くと、本体の現在のバージョンと、更新が必要かどうかが表示されます。
3. 本体を7.0.4に更新する。更新ボタンが出ていれば実行します。すでに7.0.4なら本体はそのままでOKです。
4. プラグインとテーマも最新にする。「更新」画面の下部に、更新可能なプラグイン・テーマが一覧で出ます。バックアップを取った状態で、まとめて、または一つずつ更新します。
5. 更新後にサイトを実際に開いて確認する。トップページ・問い合わせフォーム・スマホ表示など、主要な画面が崩れていないかを目視します。管理画面が正常でも、来訪者から見えるページが崩れていないかは別途確認が必要です。
6. 自動更新の設定を確認する。「更新」画面やプラグイン一覧から、本体・各プラグインの自動更新を有効にできます。次回以降の取りこぼしを減らせます。

この章の持ち帰り：迷ったら「①バックアップ → ②バージョン確認 → ③更新 → ④目視確認」の4ステップだけ覚えてください。順番を守ることが、事故を戻せるかどうかを分けます。

それでも判断に迷うとき（正直な限界）

ここまで手順を書きましたが、正直に限界もお伝えします。カスタマイズの多いサイトや、古いプラグインに強く依存しているサイトでは、更新によって表示や機能が崩れるリスクが相対的に高くなります。「更新すべきなのは分かるが、自分で押して壊すのが怖い」という状態は、発注側として当然の感覚です。

その場合の判断基準はシンプルです。バックアップから元に戻せる自信があるか。あるなら、上の手順で進めて構いません。ないなら、無理に押す前に制作会社や保守担当に相談してください。放置と暴走のどちらも避け、「戻せる状態で当てる」のが最善です。

当社では、保守契約をいただいているサイトについて、本体・プラグイン・テーマの更新前にバックアップを取り、更新後に主要ページを確認する運用を基本としています。「自社サイトが今どのバージョンで、更新が止まっていないか分からない」という段階からのご相談も歓迎です。まずは現状の棚卸しから始められます。

WordPressのバージョンが今いくつか分からない、更新して崩れないか不安、という段階からで大丈夫です。福岡のWeb制作・保守会社として、現状の棚卸しから対応まで承ります。お問い合わせください。

よくある質問