【2026年10月7日追記】最新版はWordPress 7.1.3です（10月6日公開、セキュリティ修正7件）。修正の中身と、Imgurの埋め込みが使えなくなる変更はWordPress 7.1.3の解説をご覧ください。

2026年9月23日追記：9月22日に、重大な脆弱性を1件修正するWordPress 7.1.2が公開されました。7.1.1を適用済みのサイトも対象です。内容と確認方法はWordPress 7.1.2の解説記事にまとめています。

2026年8月19日に公開されたWordPress 7.1「Mary Lou」から、およそ1か月。その不具合を修正するWordPress 7.1.1の公開日が、2026年9月17日（UTC）と発表されました。日本時間では9月18日の未明にあたります。「7.1に上げたら編集画面がおかしい」「7.0系のまま様子を見ているけれど、いつ上げればいい？」という方に向けて、7.1.1で何が直るのか、アップデートすべきかどうかを整理します。

2026年9月18日更新：WordPress 7.1.1は予定どおり9月17日（UTC）に公開されました。ただし事前の告知と違い、不具合修正だけでなくセキュリティ修正11件を含む「メンテナンス＋セキュリティリリース」になっています。この記事は公開前の情報をもとに書いた内容を、正式公開後の一次情報で全面的に更新しました。

結論から言うと、WordPress 7.1.1はコア17件・ブロックエディター19件の不具合修正に加えて、セキュリティ修正11件を含むリリースです。7.1を使っているサイトは、様子見をせず今すぐ適用してください。7.0系で様子見中のサイトも安心はできません。セキュリティ修正は4.7以降のすべての系統に配信されており、自動更新が有効なら7.0.5などの修正版がすでに当たっているはずです。「7.1に上げるかどうか」とは別に、「セキュリティ修正が当たっているか」を今日確認してください。

WordPress 7.1.1とは？メンテナンスリリースの意味

WordPressのバージョン番号は「7.1」のような2桁がメジャーリリース、「7.1.1」のような3桁がマイナーリリースです。マイナーリリースには、不具合を直すメンテナンスリリースと、脆弱性を直すセキュリティリリースの2種類があります。公開前の発表では7.1.1は前者の「バグ修正のみのリリース」とされていましたが、実際に公開されたものは両方の性格を持つ「Maintenance and Security Release」でした。7.1の開発中に入り込んだ不具合（リグレッション）の修正に、直前に修正が間に合った脆弱性11件が加わった形です。セキュリティ修正が入ると、リリースの意味は「上げてもよい」から「上げるべき」に変わります。

直近の例で比べると分かりやすいです。7月9日の7.0.1は31件の不具合を直したメンテナンスリリース、8月6日の7.0.3は12件の脆弱性を直したセキュリティリリース、8月12日の7.0.4は1件の深刻な脆弱性を直したセキュリティリリースでした。7.1.1は、7.0.1の不具合修正と7.0.3のセキュリティ修正を1つにまとめたような位置づけになりました。

公式スケジュールは次のとおりで、すべて予定どおりに進みました。日本時間に直しています。

日程（日本時間）	内容
9月3日〜9日	バグスクラブ（対象チケットの選別）が4回
9月9日	次の7.1.2のマイルストーンが開く
9月11日未明	WordPress 7.1.1 RC1（リリース候補版）
9月15日	最終バグスクラブ
9月18日未明（9月17日 15:00 UTC）	WordPress 7.1.1 正式公開（セキュリティ修正11件を含む）

7.1.2のマイルストーンが同時に開くことからも、7.1.1で全部が直るわけではなく、直せたものから順に出すという進め方だと分かります。

WordPress 7.1.1のセキュリティ修正11件｜7.0系にも配信される

公式リリースノートによると、7.1.1には次の11件のセキュリティ修正が含まれます。CVE番号は執筆時点では公表されていません。報告者にはセキュリティ研究者に加えてAI企業のAnthropicも含まれており、AIを使った脆弱性調査が本体にも及び始めていることがうかがえます。

修正内容	影響のイメージ	誰が悪用できるか
wpautop() の格納型XSS	コメント経由でスクリプトを仕込める（承認待ちコメントが対象）	未ログインの訪問者
HTML API のコメント破損（set_modifiable_text）	HTMLの書き換え処理を悪用される	条件付き
テーマのカスタムヘッダーの格納型XSS	ヘッダー設定にスクリプトを仕込める	ログインユーザー
テーマの自動インストール／プレビュー	細工したURLで無効なテーマを入れられる	ログインユーザー
プラグインの権限昇格（マルチサイト）	サイト管理者がネットワーク専用プラグインを有効化できる	マルチサイトの管理者
REST API テンプレートコントローラーのパストラバーサル	本来触れないファイルパスにアクセスされる	ログインユーザー
XML-RPC の権限回避（customize_changeset）	権限チェックをすり抜けて変更を保存される	ログインユーザー
投稿の上書き	投稿者以上の権限で他人の投稿を書き換えられる	投稿者以上
メタデータの漏えい	非公開の親投稿のタイトルが見える	ログインユーザー
スラッグの情報開示	下書き・保留中の投稿のスラッグが分かる	投稿者以上
コメントの不正な付け替え	コメントの親を勝手に変えられる	ログインユーザー

出典：WordPress 7.1.1 Maintenance and Security Release（WordPress.org、2026年9月17日）

ここで最も重要なのは、これらの修正が7.1系だけでなく、4.7以降のすべての系統に配信されている点です。7.0系で様子見中のサイトには7.0.5のような修正版が用意され、自動更新が有効なら順次適用されます。実際、当社のサイト edel-hearts.com は7.0系のまま様子見を続けていましたが、9月18日の朝に確認したところ、すでに7.0.5へ自動更新されていました。7.0.2のときと同じく、深夜のうちに配信されたことになります。

逆に言えば、自動更新を止めているサイトは、今この瞬間も11件の脆弱性を抱えたままです。未ログインの訪問者から攻撃できるXSSが含まれているので、7.1に上げるかどうかの判断とは切り離して、まずセキュリティ修正版を当ててください。手順は安全なWordPressアップデート手順にまとめています。

WordPress 7.1.1の不具合修正36件｜サイト運営者が気づきやすいもの

不具合修正はコア17件、ブロックエディター19件の計36件です。公開前に候補として挙げていた修正は、いずれもRC1の時点で取り込みが確認できました。サイト運営者が気づきやすい症状の順に整理します。

症状・影響	修正内容（確定）	影響を受けやすい人
ギャラリーブロックの「画像を切り抜く」が編集画面で効かない	画像にリンクがある場合に切り抜きが無効になる7.1の回帰バグを修正	写真を多く使うサイト
画像のアップロードが失敗しているのに「完了」と表示される	失敗時の表示を正しく出す。1枚用の枠へ複数ファイルを落とした時の扱いも修正	投稿者全般
PNGのサムネイルの色数が変わる、容量が増える	インデックスカラーPNGの縮小版をインデックスのまま保持	ロゴ・図版が多いサイト
編集者・投稿者権限で投稿画面を開くとコンソールに403エラー	設定取得の権限がないユーザーでも、起動時に不要なリクエストを送らないよう修正	複数人で運用するサイト
クエリーループのバリエーションを選ぶと編集画面が壊れる	投稿タイプ指定がない場合に「投稿」を既定値として補う	テーマ・プラグイン開発者
ブロックスタイルのバリエーションで余白（blockGap）が消える	theme.jsonの処理で、バリエーションの余白設定が捨てられていた問題を修正	ブロックテーマ利用者
特定プラグインとの組み合わせで「重大なエラー」（後述）	フックのコールバックIDが数値になってしまう変更を修正（Trac #65919、7.1.1で取り込み済み）	WP Rocketなど一部プラグイン利用者

一方で、7.1.1では直らないものもあります。7.1でサイトエディターが真っ白になる報告は、古いブラウザが新しいJavaScript機能に対応していないことが原因で、ブラウザを更新すれば解消します。「サイトが真っ白になった」という報告の多くもプラグイン側の問題で、プラグインの更新で対処するものです。

7.1を使っているサイトはアップデートすべき？

はい、今すぐ適用してください。セキュリティ修正が含まれるため、様子見をする理由はありません。マイナーリリースは、WordPressの既定では自動的に適用されます。7.0.2のときは深夜から朝にかけて管理しているサイトから「自動更新しました」というメールが相次いで届きました。7.1.1も、朝起きたら適用済み、というサイトが多いはずです。

自動更新を止めているサイトでは、管理画面の「更新」から手動で適用します。エディター周りのファイルはまとめて差し替わるので、更新前にバックアップを取る習慣は変えないでください。手順は安全なWordPressアップデート手順にまとめています。

7.0系で様子見中のサイトは7.1.1を待つべき？

当社が管理しているサイトの多くと、この記事を載せている自社サイトも、2026年9月上旬の時点ではまだ7.0系のままです。管理画面には「WordPress 7.1が利用可能です」の通知が出続けていますが、これは意図的なものです。当社ではメジャーリリースは公開後7週間程度は様子を見る、セキュリティリリースは即日適用するという基準で運用しています。7.1は8月19日公開なので、7週間後は10月上旬。その直前に出る7.1.1は「上げてよいか」を判断する、ちょうどよい目安になります。

待っている間の安全性については、条件が1つ増えました。7.1.1のセキュリティ修正は7.0系にも配信されているので、7.0.5（またはそれ以降の7.0系）が適用されていれば、7.1に上げていなくてもセキュリティ修正は受け取れています。管理画面の「更新」画面で「現在のバージョン」を確認してください。7.0.4以前のままなら、7.1へ上げるかどうか以前に、まずセキュリティ更新を当ててください。

ただし、様子見をいつまでも続けるのはおすすめしません。7.1の新機能解説で紹介したとおり運用が楽になる変更が多く、テーマやプラグインも7.1前提で更新されていきます。7.1.1が出て、使っているプラグインの対応状況が確認できたら、上げる計画を立ててください。

アップデート前にバックアップすべきもの

マイナー更新でも、戻せる状態を作ってから進めます。最低限、次の4つがあれば元に戻せます。

データベース（投稿・設定・ユーザー情報のすべて）
wp-content 配下のテーマ・プラグイン・アップロード画像
wp-config.php と .htaccess（接続情報とサーバー設定）
いま使っているWordPressのバージョン番号（戻すときに必要）

レンタルサーバーの自動バックアップだけに頼っている場合は、復元にかかる時間と手順を一度確認しておいてください。当社の保守サービスでは毎日7世代のバックアップを別の場所に取っていて、更新後に問題が出たときだけお客様へ報告する運用にしています。取り方の詳細はWordPressのバックアップガイドをご覧ください。

プラグイン・テーマへの影響と確認手順【技術者向け】

ここからは、テーマやプラグインを自作している方、複数サイトを管理している方向けの内容です。7.1.1で直るかどうかに関わらず、7.1で変わった仕様に自分のコードが引っかかっていないかを先に確認しておくと、7.1への移行がスムーズになります。

フックのコールバックIDが数値になる問題

7.1では、内部で spl_object_hash() が spl_object_id() に置き換えられました。その結果、クロージャや __invoke を持つオブジェクトをフックに登録したとき、WP_Hook の callbacks 配列のキーが従来の32文字の文字列ではなく整数になります。$wp_filter を走査して文字列関数に渡すコードは、PHP 8 の型チェックで落ちます。

foreach ( $wp_filter['init']->callbacks[10] as $id => $cb ) {
    $prefix = substr( $id, 0, 3 );
    // 7.1: TypeError: substr(): Argument #1 ($string) must be of type string, int given
}

foreach ( $wp_filter['init']->callbacks[10] as $id => $cb ) {

$prefix = substr( $id, 0, 3 );

// 7.1: TypeError: substr(): Argument #1 ($string) must be of type string, int given

}

WP Rocketで8月19日から20日にかけて起きた「サイト全体が真っ白になる」障害は、まさにこのパターンでした（特定プラグインとの併用時に発生し、3.23.2.2で修正）。コア側でも、IDに文字列の接頭辞を付けて整数化を防ぐ修正が7.1.1に取り込まれました。ただし7.1.0のまま止めているサイトでは問題が残るので、自作コードで $wp_filter や WP_Widget_Factory::$widgets のキーを扱っている箇所は、キーの形式に依存しない実装に直しておいてください。

そのほか7.1で確認しておきたい変更

投稿エディターが常にiframe内で動くようになった。document を直接触る管理画面用JS・CSSは、iframeの中を参照できているか確認する
jQuery UI が 1.14.2 に更新された。日付ピッカーやソート機能を使う古いプラグインは動作確認が必要
ブロックのCSSが「そのブロックが使われているページだけ」に出力されるようになった。REST APIで本文を取り出して別サイトで表示している場合、スタイルが欠けることがある
メディア関連のREST APIエンドポイントの応答形式が変わった。アップロード処理を自前で組んでいる場合は要確認

確認の手順としては、ステージング環境で WP_DEBUG_LOG を有効にして7.1.1に上げ、管理画面と公開側を一通り操作してログを見るのが確実です。「重大なエラー」が出て管理画面に入れなくなった場合の復旧は重大なエラーの直し方にまとめています。

自動更新が失敗したときの対処

自動更新は便利ですが、まれに「一部のファイルをコピーできませんでした」で止まることがあります。当社でも過去に発生し、SSHでサーバーに入ってコマンドで更新をやり直して解消しました。WP-CLIが使えるサーバーなら次の1行で済みます。

wp core update --version=7.1.1

1 2	wp core update --version=7.1.1

失敗の原因はファイルの所有者や権限、ディスク容量であることが多いので、まずそこを確認してください。

まとめ：7.1.1は「上げる目安」、判断に迷ったらご相談ください

WordPress 7.1.1は、7.1の不具合36件とセキュリティ11件を修正するリリースで、日本時間9月18日未明に公開されました。7.1を使っている方は、バックアップを取ったうえで今すぐ適用してください。7.0系で様子見中の方は、7.0.5以降のセキュリティ修正版が当たっていることを先に確認したうえで、使用中プラグインの対応状況を見て、7.1.1へ上げる計画を立てるのがおすすめです。7.1の不具合の全体像はWordPress 7.1の不具合まとめもあわせてご覧ください。

「どのプラグインが7.1に対応しているか分からない」「更新して壊れたときに自分で戻せる自信がない」という方は、更新作業とバックアップ、問題が起きたときの復旧までを含めて当社がお引き受けします。WordPress保守サポートの内容をご覧いただくか、無料相談からお気軽にご連絡ください。いま使っているサイトの状態を確認したい方は無料AI診断もご利用いただけます。

2026年9月18日：正式公開に合わせて、セキュリティ修正11件の内容、不具合修正の確定リスト、7.0系への配信状況を追記しました。

この記事を書いた人

矢部敦合同会社Edel Hearts 代表

WordPress専門の開発会社を経営。プラグイン開発・カスタマイズ・保守を専門とし、18時間におよぶUdemyのWordPress講座を開講。出典付きで回答するAIチャットボット「Edel AI Hybrid Chat」開発者。著書『WordPress はじめての最小プラグイン』（Kindle）。本ブログの記事は、実際の開発・運用で得た一次情報をもとに執筆しています。会社情報はこちら