#WordPress

2026年8月6日公開のWordPress 7.0.3は、ログイン画面の未認証XSS（CVE-2026-64638、XSS2Shell、CVSS 8.9）を含む脆弱性群を修正した。空白入りの`< area`がstrip_tagsを素通りしてKSESで実タグに戻る判定差を起点に、管理者のクリック一回でプラグインアップロードによるPHP実行まで繋がる連鎖と、全バージョンが影響し修正が4.7まで遡る対応範囲を整理した。

WordPress Coreが7.1へ向けてPHPUnitのGitHub Actionsジョブを削減した。PRではテストするPHPを下限側と上限側に絞り、trunkでは週次で全PHPバージョンを走らせる条件と、再実行率が約68%から約36%へ下がった差分を調べた。

WordPress 6.9.0〜6.9.4と7.0.0〜7.0.1が対象。7.0.2/6.9.5への更新、6.8系は6.8.6、/wp-json/batch/v1の一時遮断、REST APIログ確認まで扱う。

WordPress REST APIを外部連携に使うサイト向け。Application Passwords、JWT、CORS、レート制限、/wp-json/の公開範囲を、AI連携やヘッドレス構成が増えた2026年の運用目線で見直す。

WordPress 7.0（5月20日予定）からリアルタイム共同編集が外れ、AI Client・Connectors API・PHP-only block registrationが残った。wp_ai_client_prompt()のコード例とfunctions.phpの実装パターン、保存戦略ベンチマークで約52%高速化でも見送った経緯を扱う

WordPressのElementor拡張プラグイン『Vertex Addons for Elementor』v1.6.4以下で、activate_required_plugins()の認可チェック実装ミスによりSubscriber権限以上の利用者が任意のプラグインをインストール・有効化できるCWE-862脆弱性。CVSS 8.8。

WordPress定番プラグインACF 6.8がAbilities API統合・Schema.org構造化データ自動生成・WP-CLIコマンドの3機能を追加。AIエージェントがWordPressのコンテンツモデルを操作できるようになる仕組みを解説する。

Astro 6.0ベースのフルスタックサーバーレスCMS「EmDash」が登場。V8 isolateによるプラグインサンドボックスでWordPressのプラグイン脆弱性問題に終止符を打つ。

さくらインターネットでGoogle Workspaceにメール移行後、Contact Form 7のメールが届かなくなった問題をWP Mail SMTPで解決した記録