今週（8/3〜8/9）は8月6日に事件が集中しました。WordPress 7.0.3が12件の脆弱性をまとめて修正し、同じ日にGitHub Actionsが10時間を超える大規模障害。デザイン側ではFigmaがプロジェクト管理をフォルダに刷新しています。
今週の最優先は WordPress 7.0.3 への更新です。サイトを預かっている人は、この記事を読む前に管理画面を開いてしまっても構いません。
読む章の目安です。WordPress運用なら1章、GitHub ActionsでCIを回しているなら2章、フロント実装中心なら3章、Figmaで案件を管理しているなら4章。3章と5章は先週木曜（7/30）の動きで、前回に間に合わなかった分の補足です。
WordPress 7.0.3 緊急セキュリティリリース（8/6）— 12件の脆弱性を一挙修正
8月6日、WordPress 7.0.3が公開されました。修正された脆弱性は12件。セキュリティ専用リリースのため、公式も「即時更新」を推奨しています。
出典: WordPress.org — Version 7.0.3 / Patchstack — WordPress 7.0.3 Released: 12 Vulnerabilities Found and Fixed
特に危険なのが、ログイン画面の認証前（pre-auth）反射型XSSです。 ログインしていない状態から攻撃が成立し、プラグイン・テーマエディタ経由でPHPコード実行に至る可能性があると報告されています。報告者はpwn.aiのチーム。修正対象には wp-login.php が含まれています。
残る11件の内訳:
- 格納型XSS 4件: いずれもContributor+（寄稿者以上）のアカウントが前提
- 情報漏洩・列挙 3件: パスワード保護記事のコメント露出、投稿スラッグの列挙など
- 権限昇格・SSRF・CSSインジェクション 各1件: 権限昇格はユーザー登録を有効にしたマルチサイトのみ該当
影響範囲は広く、6.9系は12件中11件、6.8〜5.8系は8件、5.7〜4.7系は7件。旧ブランチにもバックポート済みなので、4.7以降なら各系列の修正版が出ています。4.6以前はサポート終了済みで修正されません。個別の再現条件はPatchstackの解説が詳しいです。
Contributor+ や Author+ が条件の脆弱性は「寄稿者以上のアカウントが必要」なので、一人で運用しているサイトなら緊急度は下がります。ただしログイン画面のpre-auth XSSは誰でも到達できる場所にあるため、これだけは例外です。複数サイトを管理していて自動更新を切っている場合は、今日中に手を動かす価値があります。
💡 今すぐ試せる: 管理画面 → ダッシュボード → 更新 でバージョンを確認。複数サイトあるなら、まず自動更新の設定状況を棚卸しして、切っているサイトから優先的に7.0.3へ
GitHub Actions 大規模障害（8/6）— 10時間42分、CIが止まった日
8月6日15:22 UTC、GitHubがActionsの性能劣化としてインシデントを開始。完全復旧は翌7日2:04 UTCで、10時間42分に及びました。GitHub Actions史上、これより長い障害は2021年5月の1件のみです。
出典: GitHub Status / GitHub Community — 2026-08-06 Incident Thread / The Register — Latest GitHub outage squeezes Actions, Pages to death
巻き込まれた範囲はActions本体にとどまらず、Pages、Copilotのコードレビューとコーディングエージェント、両タイプのランナー、Webhook、GitHub Enterprise Importerまで及びました。原因はランナーへの不正なジョブ割り当てとされています。
厄介なのは復旧の仕方です。 障害中に発火するはずだったワークフロートリガーの一部が完全に破棄され、自動リプレイができません。障害の時間帯にプッシュやプルリクエストを行っていた場合、CIがそもそも一度も起動していない可能性があります。
「失敗した」なら気づけますが、「起動しなかった」は画面上何も起きないので見落とします。8月6日〜7日にマージした変更があるなら、Actionsのタブを開いて該当コミットにワークフロー実行が紐づいているか確認してください。テストが通っていないコードがそのまま本番に乗っている、が最悪のシナリオです。デプロイをGitHub Actionsに一本化している場合は、手動デプロイの手順を書き残しておくと次に効きます。
💡 今すぐ試せる: リポジトリのActionsタブで8/6〜8/7の実行履歴を確認。該当期間のコミットにワークフローが紐づいていなければ、空コミットや workflow_dispatch で手動再実行
Chrome 152 beta（7/30）— 再生状態でCSSが反応する
こちらは先週木曜（7/30）の話で、前回のウィークリーに間に合わなかった分です。Chrome 152がベータチャンネルに入りました。安定版は8月25日の予定です。
出典: Chrome for Developers — Chrome 152 beta / Chrome 152 Release Notes
メディア状態の疑似クラス
:playing :paused :seeking :buffering :stalled :muted :volume-locked が追加され、<audio> <video> の再生状態にCSSだけで反応できるようになります。これまではJavaScriptで play / pause イベントを監視してクラスを付け外ししていた領域です。Interop 2026の重点項目にも入っています。
See the Pen Chrome 152 — メディア状態疑似クラス & Relative Alpha Colors by BaseKENT (@basekent) on CodePen.
/* Chrome 152〜 */
video:playing { outline-color: green; }
video:paused { outline-color: orange; }
video:muted { opacity: .75; }Relative Alpha Colors
既存の色を参照して透明度だけを差し替えられます。ブランドカラーを1つ変数で持てば、そこから透明度の段階を自動で派生させられるので、デザインシステムの色定義が減ります。
:root { --brand: #6366f1; }
.overlay { background: rgb(from var(--brand) r g b / 20%); }その他:
- CPU Performance API: 利用者のデバイスのCPU性能ティアを取得できる。重い処理の出し分けに使える
- window-drag プロパティ: デスクトップWebアプリでタイトルバーとして掴める領域を指定できる。既存の
app-regionを標準化・改名したもの
メディア疑似クラスは地味に見えて、動画プレイヤーのUIから定型コードを丸ごと消せる変更です。再生ボタンの見た目切り替えのためだけに書いていたイベントリスナーが不要になります。ただし現状Chromeのみで、FirefoxとSafariは未対応。当面はクラス付与との併用が現実解です。Relative Alpha Colorsの方は対応範囲が広く、今すぐ使えます。
💡 今すぐ試せる: CSS.supports('selector(video:playing)') で対応状況を判定し、falseならクラス付与にフォールバックする実装を用意しておく
Figma プロジェクトがフォルダに刷新（8/3）— 10階層までネスト可能
8月3日、Figmaがプロジェクト機能をフォルダに置き換えました。最大10階層までネストでき、色分けにも対応します。
これまではチーム直下にプロジェクトがフラットに並ぶ構造で、案件が増えるほど探しにくくなっていました。フォルダは親から権限を継承するので、クライアントごとに親フォルダを作って共有設定を一度行えば、その下は自動的に同じ権限になります。
あわせて7月30日には、Figma Makeに編集パネルが追加されました。生成されたUIの要素を選んで間隔やタイポグラフィをプロパティパネルから直接調整できるほか、「このセクションをもっと落ち着いた印象に」といった指示を注釈として書き込めます。
受託でクライアントごとにファイルが増えていく働き方だと、権限継承がいちばん効きます。案件開始時に共有設定をやり直す手間が消えるからです。10階層は正直深すぎるくらいですが、「クライアント → 年度 → 案件」程度の整理には十分。既存プロジェクトは自動でフォルダに移行するので、こちらの作業は不要です。
💡 今すぐ試せる: 抱えている案件を「クライアント名」の親フォルダにまとめ、共有設定を親側に集約。新規案件はフォルダを複製してテンプレート的に使う
AI APIの価格競争が本格化（7/30）— GPT-5.6が最大80%値下げ
同じく先週木曜（7/30）、OpenAIがGPT-5.6の価格を引き下げました。Lunaが80%減、Terraが20%減。恒久的な定価変更で、期間限定のキャンペーンではありません。
出典: CNBC — OpenAI cuts prices for two of its GPT-5.6 AI models / Forbes — OpenAI Cuts GPT-5.6 Pricing Up To 80%
変更後の価格（100万トークンあたり）:
- GPT-5.6 Luna: 入力 $0.20 / 出力 $1.20（旧 $1 / $6）
- GPT-5.6 Terra: 入力 $2 / 出力 $12（旧 $2.50 / $15）
- GPT-5.6 Sol: 据え置き
前回のウィークリーで取り上げたClaude Opus 5（入力 $5 / 出力 $25）も、Fable 5の半額という位置づけでした。2週続けて主要モデルの実質値下げが続いたことになります。OpenAI側は「システム効率の改善によるもの」と説明しています。
軽い分類・要約・抽出といった用途なら、Lunaの $0.20 は個人開発でもほぼ気にならない水準です。一方で、値下げされたのは下位・中位モデルで、最上位のSolとFable 5は据え置き。「難しい判断は高いモデル、量が出る処理は安いモデル」という使い分けの経済的な意味が、この2週間でさらに強くなりました。
自分でAPIを叩いていない人にも無関係ではありません。制作で使うAIツールは裏でこれらのモデルを呼んでいるので、原価の低下は月額プランの上限緩和という形で数ヶ月遅れで降りてきます。
💡 今すぐ試せる: 自分のAPI利用ログを見て、実際に難しい推論が必要なリクエストの割合を数える。半分以上が単純処理なら、そこだけ安いモデルに振り替えてコスト差を試算
今週のひとこと
8月6日という1日に、WordPressの緊急更新とGitHub Actionsの長時間障害が重なりました。どちらも「自分のコードは1行も変えていないのに対応が発生する」タイプの出来事です。運用するサイトやリポジトリが増えるほど、この種の外部要因に振り回される時間は増えます。自動更新を有効にしておく、デプロイ手段を1つに依存しない…といった仕込みが効いてくるのはこういう日です。まずはWordPressの更新から、今日中にどうぞ。
