以下は WordPress.org 公式ブログの記事「WordPress 7.1.2 Release」を訳したものです。
誤字脱字誤訳などありましたらフォーラムまでお知らせください。
このセキュリティリリースには、深刻度が重大なセキュリティ脆弱性の修正が含まれています。
これはセキュリティ関連のリリースであるため、直ちにサイトを更新することをお勧めします。
WordPress.org から WordPress 7.1.2をダウンロードするか、WordPress のダッシュボードで「更新」をクリックし、「今すぐ更新」をクリックしてください。自動バックグラウンド更新に対応しているサイトでは、更新が自動的に始まります。
このリリースに含まれるセキュリティアップデート
セキュリティチームより Robert Ressl 氏に感謝いたします。同氏は、認証されていない攻撃者が特定の条件下で、ページテンプレートの解決処理に任意のローカル PHP ファイルを読み込ませられる問題を、責任ある形で開示してくださいました。対象となるのは、有効化中のテーマのディレクトリ外にある読み取り可能なファイルです。サーバー環境とアクティブなテーマの両方において、関連する前提条件が満たされた場合、この脆弱性によりリモートコード実行 (RCE) が発生する可能性があります。
WordPress コントリビューターの皆さんに感謝します
このリリースは John Blackbourn が主導しました。WordPress 7.1.2は、以下の皆さんの貢献なしには実現できませんでした。
Aaron Jorbin, Aki Hamano, Alex Concha, Ehtisham Siddiqui, fiocavallari, Jb Audras, Jeffrey Paul, Jeremy Felt, Joe McGill, John Blackbourn, Lance Willett, Manuel Camargo, marcs0h, martin.krcho, Mukesh Panchal, Olga Gleckler, Pascal Birchler, Peter Wilson, Rajin Sharwar, Ressl, Shail Mehta, Stephanie Walters, vortfu.
CVE および GHSA の参照
詳細はアドバイザリ CVE-2026-87902 / GHSA-7hp8-65ch-5whp をご覧ください。
バックポート
今回のセキュリティ修正は、セキュリティ修正の提供対象であるすべてのブランチ (現在は 4.7 まで) に、厚意によりバックポートされます。なお、積極的にサポートされているのは最新バージョンの WordPress のみです。バックポートは現在作業中で、準備ができたものから順次リリースされます。
—
協力者: @toru、 @sysbird、 @torikumo、 @atachibana