Xserver で動かしている WordPress で、ウィジェットの編集だけができなくなった。更新ボタンを押しても保存されず、投稿は普通に保存できるのに、ウィジェットだけが通らない。プラグインを 1 つずつ無効化しても、テーマを変えても、キャッシュを消しても直らない。
これ、原因は Xserver が 2026 年 7 月 19 日に入れた、WordPress の脆弱性対策のサーバー側の遮断措置です。公式の告知も出ています。
で、これが厄介なんです。原因がサーバー側にある以上、サイト側で何をやっても直らない。
この記事では、何が起きているのかを実機の計測で見せたうえで、今すぐできる対処を 3 つ紹介します。
この記事は 2026 年 8 月 1 日時点の情報です。 Xserver は「安全が確認でき次第、遮断対応の解除を検討する」と告知しています。解除されれば、この現象自体が消えます。
まず、自分が該当するか、30 秒で確かめる
次の 2 つが両方あてはまるなら、ほぼ確定です。
- ウィジェットだけが保存できない（投稿や固定ページは保存できる）
- サーバーが Xserver / XServer ビジネス / XServer for WordPress のどれか
もっとちゃんと確かめたい人は、ブラウザの開発者ツール（Windows は F12・Mac は Command + Option + I）で「ネットワーク」タブを開いたまま、ウィジェットの更新ボタンを押してみてください。
一覧に v1?_locale=user という赤い行（ステータス 403） が出たら確定です。名前が「v1」と略されていますが、これが batch/v1 です（フィルタ欄に batch と打つと、この行だけに絞れます）。
ちなみに、エラー表示はかなり控えめです。更新を押した直後に「エラーが発生しました: 返答が正しい JSON レスポンスではありません。」という黒い通知が出ますが、しばらくすると勝手に消えます。画面から目を離していると「何も起きていない」ようにしか見えない。これが「原因不明」に見える最大の理由です。
何が起きているのか
WordPress 5.8 以降のウィジェット画面は、ブロックエディターでできています。で、この画面は保存のときに /wp-json/batch/v1 という窓口を使います。複数の変更を 1 回のリクエストに束ねて送る、WordPress 標準の仕組みです。
Xserver は、この窓口を塞ぎました。
実際に測るとこうなります。
| リクエスト先 | 結果 |
|---|---|
| /wp-json/batch/v1（ウィジェットの保存が使う窓口） | 403 Forbidden |
| /wp-json/wp/v2/posts（投稿の保存が使う窓口） | 200 OK |
そう、投稿とウィジェットでは使う窓口が違う。だから「投稿は保存できるのにウィジェットだけダメ」という、一見わけのわからない症状になります。
しかも 403 を返しているのは WordPress ではありません。WordPress に届く前に、サーバーが弾いています。 サーバーの内側から同じ窓口を叩くと WordPress は普通に応答するので、WordPress は無実です。
だから、プラグインを止めてもテーマを変えてもキャッシュを消しても直らない。サイトの中に原因が無いんだから当然です。
なぜ塞がれたのか
2026 年 7 月に公表された WordPress の重大な脆弱性（CVE-2026-63030・通称 wp2shell）への緊急対応です。対象は WordPress 6.8.0〜6.8.5 / 6.9.0〜6.9.4 / 7.0.0〜7.0.1。
batch/v1 は 1 回のリクエストに多数の操作を束ねられる仕組みなので、攻撃に使われると被害が増幅します。Xserver は 7 月 19 日の朝 6 時半頃、この窓口への通信を一律で遮断。利用者が WordPress を更新するのを待たず、サーバー側で先に蓋をした、ということです。
判断自体は筋が通っています。ただ、公式告知には「通常の Web サイト表示・管理画面操作には影響がない」とあって、ウィジェットの保存が通らなくなる件までは書かれていない。多くの人が原因に辿り着けないのは、ここのせいです。
対処 1: Classic Widgets を入れる（すぐ直したいならこれ）
いちばん確実で、今すぐできる方法です。
WordPress 公式の「Classic Widgets」プラグインを入れると、ウィジェット画面が 5.8 より前の旧デザインに戻ります。旧画面は batch/v1 を使いません。保存の仕組みがそもそも別なので、遮断の影響をまるごとスルーできます。
- 管理画面の「プラグイン」→「新規プラグインを追加」
- 「Classic Widgets」を検索してインストール、有効化
- 「外観」→「ウィジェット」を開くと、旧デザインに戻っている
検証環境で試したところ、旧画面では保存があっさり通りました！（データベースへの反映まで確認済み）
「トラブルの回避にまた別のプラグインを入れるのか」と思うかもしれませんが、Classic Widgets は WordPress 公式チーム製です。ブロックウィジェットへの移行期間のためにわざわざ用意されたもので、入れて困る類のものではありません。
対処 2: Xserver に個別の解除を依頼する
ブロックウィジェット画面をそのまま使いたいなら、Xserver のサポートに個別の制限解除を依頼できます。7 月 22 日の告知追記で案内されている、正規の手順です。
サーバーパネルかサポート窓口から、「/wp-json/batch/v1 の遮断でウィジェットが保存できないため、制限解除をお願いしたい」という内容で問い合わせてください。
ただし 1 つだけ。依頼の前に WordPress を最新版へ。 遮断はそもそも脆弱性対策で入っているので、脆弱なバージョンのまま解除してもらうのは、守ってもらっていた盾をわざわざ返上する行為です。
対処 3: 措置の解除を待つ
Xserver は告知の中で「お客様の WordPress アップデート状況および攻撃の状況を継続して確認のうえ、安全が確認でき次第、遮断対応の解除を検討する」としています。
急ぎでなければ、これが最も安全です。ウィジェットの編集、毎日やる作業でもないですし。
やってはいけないこと: WordPress のバージョンを下げる
これも念のため。WordPress を古いバージョンに戻すのは絶対にやめてください。
- 効きません。 遮断はサーバー側なので、WordPress のバージョンをいくら変えても 403 は 403 のままです
- 危険です。 遮断の理由は、現在進行形で攻撃されている脆弱性です。古いバージョンに戻す = その脆弱性を抱えた状態にサイトを戻す、ということです
「保存できるようになるなら」と手が伸びる場面ですが、ここは踏みとどまってください。
他社のサーバーではどうか
参考までに、僕らが検証に使っている他社サーバーでも測りました。さくらのレンタルサーバでは同じ遮断はありません。batch/v1 に対して WordPress が普通に応答します。
これは「Xserver が悪い」という話ではありません。脆弱性が公表されたとき、サーバー会社が利用者を守るためにどこまで踏み込むか――その判断の違いです。Xserver は踏み込んだ側で、その結果として一部の機能に影響が出ている。それだけのことです。
まとめ
- Xserver でウィジェットだけ保存できないのは、サーバー側の一時的な遮断措置（2026 年 7 月 19 日実施・公式告知あり）
- 原因はサイトの中に無いので、プラグインの無効化やテーマ変更では直らない
- 今すぐ直すなら Classic Widgets
- ブロック画面を使い続けたいなら Xserver に個別解除を依頼（先に WordPress を最新版へ）
- WordPress のバージョンを下げるのは厳禁
Xserver が遮断を解除したら、この記事にも追記します。それまでの応急処置は、Classic Widgets がいちばん手堅いです。