今週（10/5〜10/11）は、10月6日にWordPress 7.1.3とChrome 155が同じ日に出て、翌7日にはLet’s Encryptが証明書の有効期間を短くすると発表しました。前号で「来週には完了の見込み」と書いたGoogleの9月スパムアップデートも、10月7〜8日ごろに終わっています。
読む章の目安です。WordPressサイトを持っているなら1章、サーバーやSSLの更新を自分で管理しているなら2章、画像やCSSを扱うなら3章、検索流入を見ているなら4章です。
WordPress 7.1.3（10/6）— 承認待ちのコメントから管理画面にXSS
10月6日にWordPress 7.1.3が公開されました。セキュリティ修正7件を含む更新で、公式は直ちに更新するよう呼びかけています。7.1.1（9/17）、7.1.2（9/22）に続き、3週間で3回目のマイナー更新です。
出典: WordPress.org — Version 7.1.3
制作・運用の側で特に気にしたいのは次の2件です。
- コメント管理画面のストアドXSS: 承認待ちのコメントを経由して、管理画面でスクリプトが動く。報告はTrail of BitsとOpenAIの共同
- 非公開・未公開の投稿についたコメントの漏洩: ログインしていなくても、非公開の投稿のコメントが見えてしまう。報告はPatchstack
ほかに、Imgurの埋め込みでのXSS、WXRエクスポート（記事の書き出し）での二次的なSQLインジェクション、URL処理でのサービス妨害、投稿者権限で記事を先頭固定できてしまう問題、フック名の衝突を起こせるパラメータの問題が直っています。修正は旧バージョンにも配られています。
コメント欄が絡む修正は、これで4週間のうち3回目です。 9月17日の7.1.1では段落整形を経由したXSS（承認が条件）、9月下旬に公表されたThe Events Calendarではコメント経由の未認証RCE、そして今回の管理画面のXSSです。今回のものは「承認待ちのコメントを管理者が一覧で見る」という、ごく日常的な操作が入口になっている点が嫌なところです。
前号で「マイナーリリースの自動更新だけは有効にしておく」線引きを勧めましたが、3週連続となると、この設定の有無で手間がまるで違います。 手動で回しているサイトが多いなら、今回を機に設定を見直す価値があります。
💡 今すぐ試せる: 管理画面の「ダッシュボード → 更新」で7.1.3になっているかを確認する。あわせて、コメント欄を使っていないサイトは「設定 → ディスカッション」で新規投稿のコメントを閉じておく
Let’s Encrypt が証明書を64日に短縮（10/7発表）— 更新間隔を決め打ちしている設定は要確認
10月7日、無料のSSL証明書を発行しているLet’s Encryptが、2027年2月10日から、証明書の既定の有効期間を90日から64日に短くすると発表しました。
出典: Let’s Encrypt — 64-day certificates
- 2026年10月14日: ステージング環境で64日の証明書の発行が始まる。本番の前に試せる
- 2027年2月10日: 本番の既定が64日になる。45日や6日を選ぶこともできる
- 2027年5月11日: 最後の90日証明書が期限切れになる見込み。有効な証明書が途中で失効させられることはない
- 2028年: さらに45日へ短くなる予定
影響が出るのは、更新のタイミングを日数で決め打ちしている環境です。 「期限の30日前に更新」のような設定は、ほとんどのレンタルサーバーの自動更新なら気にしなくて済みます。問題になるのは、自分でcronやスクリプトを組んでいる場合です。Let’s Encryptは、有効期間のおよそ3分の2の時点で更新する設定に変え、スクリプトや手順書の中にある「83」「80」「60」といった数字を探すよう勧めています。90日を前提にした定番の値です。
更新のタイミングをサーバー側から教えてもらう仕組み（ARI）に対応したクライアントなら、基本的に自動で調整されます。 自分のツールが対応しているかは、ドキュメントで確認できます。
クライアントのサイトをVPSで預かっている場合が、いちばん見落としやすいところだと思います。 何年も前に組んだ更新スクリプトがそのまま動いていて、誰も中身を覚えていない、という状態が珍しくないからです。2月まで時間はありますが、ステージングで試せる10月14日以降に一度確認しておくと安心です。
💡 今すぐ試せる: 自分で証明書を更新しているサーバーがあれば、cronや更新スクリプトの中を「83」「80」「60」で検索して、日数の決め打ちがないかを確かめる
Chrome 155（10/6）— JPEG XL を表示できるように、CSSには margin-trim
10月6日にChrome 155が公開されました。2週間サイクルの3回目です（153・154・155）。
出典: Chrome Platform Status — Chrome 155 Release Notes / GIGAZINE — Google Chrome 155 stable version released / gHacks — Chrome 155 With 247 Security Fixes
画像まわりで大きいのが、JPEG XL（image/jxl）を表示できるようになったことです。 デコーダーにはRustで書かれた実装が使われています。JPEG XLは、同じ画質ならJPEGより小さくでき、既存のJPEGを劣化なしで変換し直せるのが特徴です。Safariは以前から対応しています。Firefoxの安定版での対応は確認できていないので、使うなら <picture> で他の形式を併記する形になります。
<picture>
<source srcset="photo.jxl" type="image/jxl">
<source srcset="photo.avif" type="image/avif">
<img src="photo.jpg" alt="…" width="1200" height="800">
</picture>CSSでは margin-trim が実務で効きます。 カードの中の見出しや段落に一律でマージンを付けると、先頭と末尾のマージンが余計な余白になります。これまでは子要素の側で打ち消していましたが、コンテナに1行書けば済むようになりました。
See the Pen margin-trim — 最後の子の margin-bottom: 0 を書かなくていい by BaseKENT (@basekent) on CodePen.
/* 従来: 子要素の側で、最初と最後だけ打ち消していた */
.card > :first-child { margin-block-start: 0; }
.card > :last-child { margin-block-end: 0; }
/* Chrome 155〜: コンテナ側に1行 */
.card { margin-trim: block; }デモでは、何もしない場合に上下34px前後ある余白が、カードのpadding分の19pxに揃うのを実測で表示しています。効くのはブロックコンテナと段組みで、flexやgridの子には効きません。 Safariは以前から対応していて、Firefoxは未対応です。
このほか、@counter-style を宣言せずにリストの記号を決められる symbols()、下線が空白を飛ばすかを決める text-decoration-skip-spaces、JavaScriptからテキストファイルをモジュールとして読み込める import … with { type: "text" }、Web Cryptoへの耐量子暗号（ML-KEM、ML-DSA）の追加などが入りました。セキュリティ修正は247件で、そのうち4件が緊急とされています。
💡 今すぐ試せる: 自分のCSSを :last-child で検索し、margin-bottom: 0 や margin-block-end: 0 を打ち消しのためだけに書いている箇所を探す。そこが margin-trim に置き換えられる候補になる
Googleの9月スパムアップデートが完了（10/7〜8ごろ）
前号で「展開中」と書いたGoogleの9月スパムアップデートは、9月24日の開始から約13日16時間で完了しました。 完了は10月7〜8日ごろです。
出典: Google Search Status Dashboard — Ranking
2026年のスパムアップデートとしては、異例に長い展開でした。 3月は19時間半、6月は2日1時間、8月は2日16時間で終わっていて、2週間近くかかったのは今回だけです。Googleは対象にしたスパム手法を明らかにしていません。
前号で「完了してから比べるのが順番」と書いたとおり、ここからが確認のタイミングです。 展開が長かったぶん、途中経過の数字には揺れが混ざっています。
💡 今すぐ試せる: Search Consoleで、9月24日より前の2週間と、10月8日より後の数日を比べる。大きく落ちたページがあれば、内容の薄さや重複がないかを見る
今週のひとこと
WordPressのマイナー更新が3回続き、Let’s Encryptは証明書の寿命を縮めると発表しました。どちらも、人が覚えて手で回す運用を成り立たなくする変化です。任せられる更新は自動に任せ、決め打ちの数字は今のうちに外しておきましょう。来週は13日（火）にFirefox 158が出る予定です。
