Web 制作・WordPress 保守に関わるニュースを、5件まとめました。
今日は脆弱性の話が2件あります。
とくに QA Assistants のほうはすでに攻撃も確認されているので、心当たりのある方は先に読んでください。
各ニュースには急ぎ度を付けています。
- 【すぐ対応】今日中に対応したいもの
- 【すぐ確認】自分が対象かどうか、今日確認したいもの
- 【試しておく】正式版が出る前に、検証環境で試しておきたいもの
- 【知っておく】すぐの対応はいらないけれど、知っておくと役立つもの
今日の早見表
| 急ぎ度 | ニュース | 関係する人 | やること |
|---|---|---|---|
| すぐ対応 | QA Assistants の脆弱性 | このプラグインを入れているサイトの管理者 | 5.3.0.2 に更新し、不審なファイルがないか確認 |
| すぐ確認 | KUSANAGI の Nginx 設定の脆弱性 | KUSANAGI（Nginx）で WordPress を動かしている人 | KUSANAGI を更新するか、設定を1行直す |
| 試しておく | WordPress 7.2 Beta 5 | WordPress サイトを保守している人 | 検証環境で、プラグインとテーマが動くか試す |
| 知っておく | Modern Web Guidance 1.0 | AI で実装している人 | 気になれば試してみる |
| 知っておく | Figma Motion の更新 | Figma で動きを作っている人 | 新機能を確認しておく |
【すぐ対応】QA Assistants に、ログインなしでプログラムを実行される脆弱性
ひとことで
アクセス解析のプラグイン「QA Assistants」（旧名 QA Analytics）の 5.3.0 以前に、外部からプログラムを実行されるおそれのある脆弱性が見つかりました。
Xserver ではこの脆弱性を悪用したとみられる攻撃も確認されています。
関係する人
このプラグインを入れているサイトを管理している人です。
Xserver 以外のサーバーでも、プラグインが入っていれば対象になります。
何が起きているか
脆弱性の番号は CVE-2026-87112 で、深刻度（CVSS）は 8.8（重要）です。
Xserver のお知らせと CVE の説明文では攻撃に認証（ログイン）は不要とされています。
任意のファイルを置かれたり、外部からプログラムを実行されたりするおそれがあります。
CVE の説明によると、攻撃の起点は、WordPress の予約処理（wp-cron.php）でおよそ2分ごとに動く、このプラグインの処理のようです。
つまり、管理画面を開いていなくても、プラグインが有効になっているだけで狙われる可能性があります。
Xserver は 11月9日付けのお知らせで、影響する版が入っているサイトのプラグインフォルダ（qa-heatmap-analytics）の権限を「000」に変えたと案内しています。
この措置を受けたサイトでは、プラグインが動かなくなり、管理画面では停止した状態に見えます。
やること
Xserver が案内している手順は次のとおりです。
- 権限が「000」に変えられたフォルダがあれば、元の設定に戻す
- QA Assistants を最新版（5.3.0.2）に更新する
- 更新したあと、プラグインを有効化し直す
- サイトの中に、心当たりのないファイルが置かれていないか確認する
4の「不審なファイル」はアップロード用のフォルダ（wp-content/uploads）の中にある PHP ファイルが、まず見るところになると思います。
画像などを置く場所なので、ふつうは PHP ファイルがありません。
SSH が使えるなら、次のように探せます（/path/to/wordpress は WordPress を置いている場所に読み替えてください）。
find /path/to/wordpress/wp-content/uploads -name "*.php"これはあくまで確認の入口です。
見つからなかったからといって、安全だと言い切れるわけではありません。
アクセス解析系のプラグインは一度入れると見直す機会が少なく、入れたことを忘れがちだと思います。
保守しているサイトが多い方は、この機会にプラグインの一覧を見直しておくと安心です。
出典
- Xserver のお知らせ: https://www.xserver.ne.jp/news_detail.php?view_id=19874
- CVE-2026-87112 の記録（Tenable）: https://www.tenable.com/cve/CVE-2026-87112
【すぐ確認】KUSANAGI の Nginx 設定に、HTTP ヘッダーインジェクションの脆弱性
ひとことで
KUSANAGI で作った WordPress 環境の Nginx 設定に、細工した URL を開かせると、サーバーの応答に好きなヘッダーを差し込まれる脆弱性が見つかりました。
関係する人
KUSANAGI で WordPress を動かしていて、Web サーバーに Nginx を使っている人です。
Apache を使っている場合は対象外です。
影響する版と修正版
| エディション | 影響する版 | 修正版 |
|---|---|---|
| Free / Business / Premium | 9.12.2-1 以前 | 9.12.3-1 以降 |
| Security / Enterprise | 10.7.2-1 以前 | 10.7.3-1 以降 |
KUSANAGI 7 と 8 も対象ですが、サポートが終わっているため、修正版は出ません。
脆弱性の番号は CVE-2026-117477 で、深刻度（CVSS v3.1）は 6.1（警告）です。
攻撃するには、利用者に細工した URL を開かせる必要があります。
そのため、急ぎ度は QA Assistants より一段下げていますが、対象なら早めに直しておきたいところです。
原因は設定の1行
原因は管理画面の URL の末尾にスラッシュを付けるリダイレクト設定の、1行だけです。
rewrite /wp-admin$ $scheme://$host$uri/ permanent;この $uri を $request_uri に変えるのが、提供元の示している緩和策です。
公式の告知には理由の説明はありませんが、Nginx の $uri は URL をデコードした（%0d%0a などを元の文字に戻した）値になります。
そのため、改行コードを含む URL を送られると、リダイレクト先のヘッダーに改行が入り、別のヘッダーを差し込まれてしまう、という仕組みのようです。
$request_uri はデコードする前の値なので、この問題が起きません。
たった1語の違いですが、こういう設定は自分で書いたものでなくても、そのまま使い続けていることが多いですよね。
やること（KUSANAGI 9）
修正版に更新します。
dnf upgrade kusanagiSecurity Edition と Enterprise Edition で、kusanagi autoupdate によるミドルウェアの自動更新を有効にしている場合は、自動で修正されます。
すぐに更新できない場合は、設定ファイルの該当行を直します。
対象は、各プロファイルの /etc/opt/kusanagi/nginx/conf.d/{プロファイル名}.wp.inc です。
rewrite /wp-admin$ $scheme://$host$request_uri/ permanent;直したら、Nginx を読み込み直します。
kusanagi nginx --reloadやること（KUSANAGI 7・8）
更新は出ないので、設定を直すしかありません。
対象のファイルは次の2つです。
/etc/nginx/conf.d/{プロファイル名}_http.conf/etc/nginx/conf.d/{プロファイル名}_ssl.conf
直し方は KUSANAGI 9 と同じで、$uri を $request_uri に変えます。
そのあと Nginx を再起動します。
kusanagi nginxサポートの終わった環境では、今回のように「自分で直すしかない」場面が増えていきます。
KUSANAGI 7・8 のサイトを保守している方は、移行の相談を始めるきっかけにしてもよさそうです。
出典
- KUSANAGI の告知: https://kusanagi.tokyo/releases/27993/
- JVN（JVNVU#92635551）: https://jvn.jp/vu/JVNVU92635551/index.html
【試しておく】WordPress 7.2 Beta 5 が公開
ひとことで
12月8日に正式版が出る予定の WordPress 7.2 の、5つ目のベータ版が 11月10日に公開されました。
変わった点
- アプリケーションパスワードを作ると、通知メールが届くようになった
- 管理画面上部のツールバーで、キーボード操作が改善された
- MP3 ファイルをアップロードするときの互換性が改善された
- Git の worktree を使った環境で、自動更新が正しく動くようになった
- 新しい既定テーマ「Ipsum」で、キーボード操作時のフォーカス表示が見やすくなり、「視差効果を減らす」設定にも従うようになった
アプリケーションパスワードの通知メールは地味ですがうれしい変更です。
身に覚えのないパスワードが作られたときに気づけるので、乗っ取りに早く気づく手がかりになります。
PHP 8.6 との関係
PHP 8.6 は 11月19日に公開される予定です。
WordPress 7.2 は PHP 8.6 への完全な対応を目指していて、Beta 5 の時点で、わかっている互換性の問題はすべて解決したとのことです。
ただし、これは WordPress 本体の話です。
プラグインやテーマが PHP 8.6 で動くかはそれぞれ確かめる必要があります。
私も PHP 8.5 に上げたとき、OGP 画像の自動生成が動かなくなりました。
PHP を上げたときに起きたことと、原因の調べ方はこちらにまとめています。
試し方
本番のサイトや、仕事で大事なサイトには入れないよう、公式からも案内されています。
検証用やローカルの環境で試しましょう。
試し方は4通りあります。
- 「WordPress Beta Tester」プラグインを入れて、「Bleeding edge」と「Beta/RC Only」を選ぶ
- Beta 5 の zip ファイルをダウンロードして入れる
- WP-CLI で更新する
- WordPress Playground で、ブラウザ上で試す（準備がいらない）
WP-CLI なら、次のコマンドです。
wp core update --version=7.2-beta5正式版の 12月8日は年末の忙しい時期に近いです。
保守しているサイトのプラグインやテーマの確認を今のうちに済ませておくと、年末に慌てずに済みそうです。
テーマやプラグイン、本体を順番に上げていった記録はこちらです。
検証環境での確かめ方の参考にどうぞ。
出典
- WordPress.org のお知らせ: https://wordpress.org/news/2026/11/wordpress-7-2-beta-5/
【知っておく】Google が「Modern Web Guidance」1.0 を公開
ひとことで
AI のコーディングエージェントに、ブラウザの新しい機能を使ったコードを書かせるためのガイド集「Modern Web Guidance」が、正式版の 1.0 になりました。
無料で使えます。
何ができるか
AI はコードを書くとき、学習した時点より新しいブラウザの機能を知らず、古い書き方をしてしまうことがあります。
Modern Web Guidance はそうした知識の抜けを補うガイドをエージェントに読ませる仕組みです。
1.0 での主な変更は次の3つです。
- 既存の HTML・CSS・JavaScript と
package.jsonを点検して、新しい書き方に置き換えられる箇所を示す機能が加わった - Firefox と Edge の開発元もプロジェクトに参加した
- ガイドごとに専門家が確認する体制や、アクセシビリティの確認の体制が整った
導入はプロジェクトのフォルダで次のコマンドを実行します。
主なコーディングエージェントのプラグインとしても入れられるようです。
npx modern-web-guidance@latest install数字の読み方には注意
Google の公開しているテストでは、各社のエージェントに同じ課題を解かせた結果、ガイドありは自動チェックの 88% に合格し、ガイドなしは 56% だったそうです。
日本の note 社の検証も紹介されていて、スコアが上がったと報告されています。
ただし、Search Engine Journal も指摘しているとおり、公開されている結果の多くは、Google 自身のテストか、Google が紹介した会社のテストです。
アクセシビリティの確認も、WCAG（アクセシビリティの国際基準）の完全な監査ではないと明記されています。
また、ガイドありのほうが処理に時間がかかり、使うトークンも増える傾向があったそうです。
私もふだん AIを使っているので、気になっています。
まだ試していないので、実際に古い書き方がどれくらい減るのかは試してから改めて書きたいと思います。
出典
- Search Engine Journal: https://www.searchenginejournal.com/google-releases-modern-web-guidance-1-0-for-ai-coding-agents/596495/
【知っておく】Figma Motion にスプリングと、書き出し前のプレビューが追加
ひとことで
Figma で動き（アニメーション）を作る機能「Figma Motion」に、11月10日付けで3つの機能が加わりました。
加わった機能
- スタイルのプレビュー: 用意されたアニメーションのスタイルを、適用する前に再生して確かめられる
- 物理ベースのスプリング: iOS と Android 向けに、質量・硬さ・減衰を設定して、ばねのような自然な動きを作れる。設定はデザインシステムに保存して使い回せる
- Lottie 書き出しのプレビュー: Lottie ファイルとして書き出す前に、どう再生されるか確かめられる
Lottie は Web サイトでもアニメーションを軽く表示するためによく使われる形式です。
書き出してから「思っていた動きと違う」となる手戻りが減りそうです。
なお、リリースノートには対象のプランや、ベータ版かどうかの記載はありませんでした。
出典
- Figma のリリースノート: https://www.figma.com/release-notes/?title=new-figma-motion-updates-physics-based-springs-style-and-lottie-export-previews
今日の確認リスト
- 保守しているサイトに QA Assistants（旧名 QA Analytics）が入っていないか。入っていれば 5.3.0.2 に更新し、不審なファイルを確認する
- KUSANAGI（Nginx）の環境なら、版を確認して更新するか、設定の1行を直す
- KUSANAGI 7・8 の環境が残っていないか
- WordPress 7.2 と PHP 8.6 に向けて、検証環境でプラグインとテーマを試す日程を決める
