TranslatePress に重大な脆弱性、対象・対策まとめ
TranslatePress 3.3.1 以下は、管理者アカウントを乗っ取られます。塞がるのは 3.3.2 からですが、その後もログイン不要の XSS 修正が 2 本続いたので現行の 3.3.4 まで上げる。
ブログ
WordPress の更新で踏んだ事故と直し方。公開された脆弱性は、対象になるサイトと取るべき対応をまとめています。
3 / 3 ページ
Avada に重大な脆弱性、対象・対策まとめ
Avada 7.16 以下と Avada Builder 3.16 以下は、ログインなしで PHP を実行されます。テーマ 7.16.1 とプラグイン 3.16.1 を両方そろえて上げる。修正版が出たのも公開と同じ 8/25 です。
Advanced Editor Tools は 7.1 で本文が出ない
WordPress 7.1 に上げると、Advanced Editor Tools のクラシック版の段落が編集画面に出なくなります。本文は消えていないので、リスト表示から選んでブロックへ変換すれば戻ります。
ManageWP Worker に深刻な脆弱性、対象・対策まとめ
ManageWP Worker 4.9.36 以下は、ログイン用リンクを入手した第三者に管理者としてログインされます。4.9.38 に上げる。すぐ上げられないなら Worker を一時的に無効化する。
更新は WP Rocket → WordPress 7.1 の順で
WordPress 7.1 に上げた直後にサイトが真っ白になるのは WP Rocket が原因です。3.23.2.2 に先に上げてからコアを上げれば落ちません。逆順だと復旧に wp-cli か FTP が要ります。
W3 Total Cacheに深刻な脆弱性、2.10.5へ更新を
W3 Total Cache 2.10.4 以下は、ログインなしでサーバー上の任意のディレクトリにファイルを書き込まれます。2.10.5 に上げる。Apache なら .htaccess が書き換わっていないか見る。
User Profile Builder の脆弱性は 2 日前のセキュリティ修正が原因
User Profile Builder 3.16.4 の未認証の管理者乗っ取りは、2 日前に出たセキュリティ修正が原因でした。3.16.6 に上げる。すぐ上げられないなら「登録後に自動ログイン」をオフにする。
Forminatorに脆弱性1.57.0へ
Forminator 1.56.1 以下は、ログインしていない第三者に任意のファイルをアップロードされます。1.57.0 に上げる。uploads に見覚えのない .php が無いかも見ておく。
サイトが 503 で落ちる Broken Link Checker の不具合は順序バグだった
Broken Link Checker 2.4.9 に上げると 503 で落ちるのは、DB スキーマ更新の順序バグでした。失敗した更新が全リクエストで再試行されます。2.4.11 に上げれば止まります。
Xserver のウィジェットが保存できないのはサーバー側の一時措置
Xserver でウィジェットだけが保存できないのは、2026 年 7 月 19 日に入ったサーバー側の遮断措置です。サイト側では直りません。実機で計測した結果と、いま取れる対処 3 つをまとめました。
さくら→Xserver の移行で注意「Unknown collation: ‘utf8mb4_0900_ai_ci’」の倒し方
移行時の「Unknown collation: ‘utf8mb4_0900_ai_ci’」は、.sql を utf8mb4_uca1400_nopad_ai_ci に全置換すれば直ります。unicode_ci への置換は別のエラーです。