WordPress は2026年10月28日、セキュリティリリース 7.1.4 を公開し、直ちに更新するよう推奨しています。最も深刻なのはコアの更新処理の弱点で、更新中のわずかな時間にリモートコード実行につながるおそれがあります。報告者は研究者の Umut Bayram 氏です。Wordfence によると影響範囲は WordPress 4.7〜7.1.3、CVSS は 8.1 で、CVE 番号はまだ割り当てられていません。
仕組み：影響を受けるバージョンでは、フルパッケージでのコア更新時に、新しいファイルを wp-content/upgrade/ 配下の推測しやすいフォルダーに展開し、そこには WordPress のインストーラーも含まれます。Patchstack によると、アカウントを持たない攻撃者でも、このインストーラーが存在する数秒の間にアクセスできれば、自分が管理するデータベースに対してインストーラーを実行できます。この隙は自動更新を含むすべてのコア更新で発生します。7.1.4 ではフォルダー名のランダム化、index.php による保護の維持に加え、Patchstack によれば wp-config.php を作業フォルダーから複製しないよう変更されました。
攻撃の試みはすでに始まっています。Wordfence はリリースの約3時間後にファイアウォールルールを配信し、その9分後に最初の検知がありました。SecurityWeek は最初の21時間でインストーラーのパスを狙うリクエストが1万8,500件超あったと報じ、Techaeris は Wordfence が24時間で6万2,969件を遮断したと伝えています。Wordfence は侵害の成功を報告していません。Patchstack は、時間の隙が非常に短いため実際の悪用は難しいとみています。
7.1.4 では合計 22件の脆弱性が修正されました（Patchstack が WordPress の集計として紹介）。その中には格納型 XSS が多数含まれます。また、eMudhra の失効を受けて同梱のルート証明書も更新されています。修正は 4.7 までのすべてのブランチに提供されています（例：7.0.8、6.9.11、4.7.39）。4.6 以前には修正がありません。
