タグ: Wordpress

WordPress 7.0の開発が進む中、リリース日が4月9日から5月20日に延期された。この変更は単なるスケジュール調整ではない。WordPressコア開発チームが「最も安定し、最もパフォーマンスに優れたソフトウェアを提供する」ために取った、慎重な判断だった。

昨年来のWordPress界隈の複雑な状況を踏まえ、開発陣はスケジュールよりも品質を重視する姿勢を明確にした。アーキテクチャの安定性とパフォーマンスに追加作業が必要と判断し、結果として約1ヶ月半の延期となった。制作現場で安定稼動が何より重要なWordPressにとって、これは理にかなった決断といえる。

セキュリティ強化が加速する2026年のWordPress

WordPress 7.0の延期と並行して、WordPress 6.9.2がセキュリティリリースとして公開された。修正内容を見ると、Blind SSRFの問題、HTML APIとBlock Registryの弱点、数値文字参照での正規表現DoS脆弱性など、技術的に高度な攻撃に対応している。

2026年のWordPressセキュリティ状況は、2024年に約8,000件の新しい脆弱性が発見され、2月には244件の新しい開示があり、うち80件が未修正という深刻なレベルにある。この状況を受けて、2026年のWordPressセキュリティ環境は大幅に変化し、HTML APIの強化、自動プラグインスクリーニング、認証制御の改善により、より安全な基盤を構築している。

特に注目すべきはWordPressがセキュリティアップデートを重要度別に分類し、重要なパッチは2〜4時間以内に自動デプロイされる仕組みが整備されたことだ。制作会社にとって、クライアントサイトの安全性を保つために自動アップデートの設定確認が必須の作業となっている。

プラグインエコシステムの脆弱性対策

WordPressの最大の強みであるプラグインシステムが、同時に最大のセキュリティリスクになっている現実がある。新しい脆弱性の91%がプラグインで発見され、9%がテーマ、WordPressコアでの報告はわずか6件で低優先度の問題だった。

プレミアムやフリーミアムコンポーネントで1,983件の有効な脆弱性レポートがあり、総レポートの29%を占める状況は、制作現場での慎重なプラグイン選択を求めている。12ヶ月以上アップデートされていないプラグインは代替品を探すことが推奨されており、定期的な棚卸しが重要になっている。

WooCommerceでもStore API脆弱性が52のバージョンで修正され、特定のブラウザ環境でログイン済み管理者が悪意のあるリンクを訪問した場合に管理者アカウントの作成などが実行される可能性があった。E-コマースサイトを運営する場合、こうしたアップデートへの迅速な対応が欠かせない。

WordPress 7.0が目指すコラボレーション機能

WordPress 7.0はGutenbergプロジェクトのPhase 3の決定版的ローンチであり、コラボレーションとワークフローに完全に焦点を当て、「単独エディター」モデルから共有リアルタイム創作環境への移行を目指している。

具体的には複数ユーザーが同じ投稿やページを同時編集でき、デフォルトのHTTPポーリング同期プロバイダーを搭載し、ホストやプラグインがWebSocketサポートを追加できるフック、オフライン編集の同期、Notesリアルタイム同期などが実装される予定だ。

チーム制作が主流になりつつある現在、これらの機能は特に代理店や制作会社にとって業務効率向上の要となりそうだ。ただし、リアルタイムコラボレーション機能、Web Client AI API、レスポンシブブロック表示制御は、サードパーティプラグインが拡張する領域に関わるため、事前のテストが強く推奨されている。

実務での対応方針

WordPress 7.0への移行準備として、最小PHPバージョンが7.4に引き上げられ、PHP 7.2と7.3のサポートが正式に廃止、最適なパフォーマンスとセキュリティのためPHP 8.3以上が推奨される。つくば周辺の制作者も含め、レンタルサーバーのPHP環境確認は早めに済ませておきたい。

延期によりRC 3（新Beta 1）が5月8日、5月20日の正式版まで最終テスト期間が設けられた。この期間を活用して、使用中のテーマやプラグインの互換性を入念にチェックし、本格導入は正式リリース後2〜4週間の安全期間を置くのが現実的だろう。

セキュリティ脅威が多様化し高度化する中で、WordPressは単なる機能追加よりも安定性と安全性を重視する方向性を明確にした。延期という判断にも表れているように、制作現場の実務を支える基盤としての責任を果たそうとするその姿勢は、長期的にはユーザーにとってプラスになるはずだ。

WordPressの最新版6.8「Cecil」では、Speculation Rules APIによる先読み機能がコアに統合されました。この機能により、ユーザーのクリック前にページを先読みすることで、Largest Contentful Paint（LCP）のパフォーマンスが大幅に改善し、設定によってはページの即座読み込みも実現可能となっています。

Speculation Rules APIは、ユーザーの行動を予測してページやリソースを事前に読み込む最適化技術で、JSON形式でルールを定義してブラウザに先読みの指示を出す仕組みです。現在はChrome、Edge、OperaなどのChromium系ブラウザでサポートされており、Safari や Firefox では機能は無視されるものの、悪影響はなく、単に先読みの恩恵を受けられないだけです。

WordPress 6.8では、デフォルトで保守的な設定が採用されており、クエリパラメーターやハッシュフラグメントのないアンカーリンクに対してのみ先読みが適用されます。現時点では先読み（prefetch）モードと保守的（conservative）な積極性が採用されており、ユーザーがリンクと相互作用したときにURLが先読みされる仕組みです。

実際のパフォーマンス向上効果

この機能の効果は実際のサイト運営で確認されています。複数のクライアントサイトでのテストでは、体感的なページ読み込み時間が最大40%短縮された事例も報告されています。ユーザーからの評価では、なぜかは言葉で表現できないものの、先読み機能を有効にしたサイトの体験を好む傾向があり、「サイトがより高級に感じる」という反応も得られているとのことです。

ただし、先読み機能は同一サイト内での別ページへの遷移時にのみ効果を発揮するため、個別のURLに対するベンチマークテストでは効果を測定できず、実際のユーザー体験では測定結果以上の改善効果が期待できます。

WordPress 6.8のコア機能では保守的な先読みのみですが、専用のSpeculative Loadingプラグインを使うことで、より積極的な事前レンダリング機能を利用でき、設定画面から先読みの方式と積極性をカスタマイズすることも可能です。制作現場では、サイトの性質に応じてこれらの設定を調整することで、さらなるパフォーマンス向上が見込めるでしょう。