WordPressに強制アップデートが降ってきた。自作CMSでやっている僕が思ったこと
更新を配ってもらえる安心と、勝手に変わらない安心。
どちらを取るかという話だと思う。
WordPress に強制的なアップデートが配られた、というニュースを見た。
「配られた」と書いたのは、サイトの持ち主が何もしなくても勝手に上がったからだ。
自分で作ったCMSでサイトを動かしている僕は、これをどう受け止めるべきか少し考え込んだ。
何があったのか
2026年7月17日、WordPress 7.0.2 がセキュリティリリースとして公開された。
塞がれたのは2件の脆弱性で、この2つを繋げると、ログインしていない相手でもサーバー上でコードを動かせる状態だったという。
つまり、管理画面のパスワードをどれだけ強くしていても関係がない種類の穴だ。
深刻だと判断されたため、WordPress.org はコアの自動更新の仕組みを使って、対象バージョンのサイトへ更新を強制的に配信した。
修正版は 7.0.2 と 6.9.5、6.8.6 の三つ。
6.8 より前のバージョンは対象外とされている。
「勝手に上がる」を、僕はうらやましいと思った
自作のCMSでやっていると、こういうニュースの読み方が変わってくる。
うちには誰も更新を配ってくれない。
穴があったら自分で見つけて自分で塞ぐしかないし、そもそも穴があることに気づけないかもしれない。
その代わり、勝手に何かが書き換わることもない。
朝起きたらサイトの見た目が崩れていた、という事故は起きにくい。
どちらが安全かという話ではなくて、どちらの不安を引き受けるかという話なんだと思う。
今回のように、放っておくと誰でも入れてしまう穴が見つかったときは、強制的に配るほうが正しい。
自動更新を止めている人ほど危ないのに、そういう人ほど手動では上げないからだ。
運営者の判断に任せると、いちばん危ない人が取り残される。
で、個人サイトはどうすればいいか
WordPress を使っているなら、自動更新はオンのままでいい。
「更新でレイアウトが崩れるのが怖い」という気持ちはよく分かるけれど、崩れたレイアウトは直せる。
乗っ取られたサイトは、直すより先に信用が消える。
どうしても怖いなら、更新の前に丸ごとコピーを取っておく仕組みを先に用意するほうが早い。
戻せる状態さえ作っておけば、更新は怖くなくなる。
僕が自作CMS側でいちばん時間をかけているのも、実はこの「戻せるようにする」ところだったりする。