今週（11/2〜11/8）は、前号で取り上げたWordPress 7.1.4の穴に動きがありました。11月3日、米国のサイバーセキュリティ当局（CISA）が、実際に悪用されている脆弱性の一覧に加えています。同じ日にChrome 157とWordPress 7.2 Beta 4も出ました。Googleの検索アップデートはありません。
読む順の目安です。WordPressサイトを持っているなら最初の章を最優先で、CSSやフロントを書くならChrome 157の章、テーマやプラグインを作っているならBeta 4の章、来月までの作業を組むなら最後の予定の章です。
WordPressの「更新中の穴」、CISAが悪用確認済みの一覧に追加（11/3）
前号で紹介した、WordPressの更新処理のすき間を突く穴（CVE-2026-119977）について、CISAが11月3日に「悪用が確認された脆弱性」の一覧（KEV）に加えました。米国の連邦機関には、11月6日（金）までの対応が指示されています。
出典: BleepingComputer — CISA flags WordPress RCE flaw as actively exploited in attacks / WordPress News — WordPress 7.1.4
おさらいすると、WordPressは更新のとき wp-content/upgrade/ に新しいファイルを展開します。7.1.3まではこのフォルダ名が推測でき、更新中の数秒だけ、インストーラーを含む一式がWebから見えていました。そこを踏まれると、ログインなしでコードを実行されるおそれがあります。10月28日の7.1.4で、フォルダ名を予測できないようにして塞がれました。4.7系以降の各旧系列にも修正版が出ています。
Wordfenceは10月31日〜11月1日の週末に出した更新で、この穴を狙う攻撃を24時間で1万3,095回ブロックしたと報告しています。一方で、実際に乗っ取られたサイトの具体例は、まだ公表されていません。 前号で「試行の数で、侵害の報告は確認できていない」と書いた状況から、公的機関が悪用を認める段階に進んだ、という整理になります。
数秒しか開かない穴でも、試行を自動で続けられると当たりうる、という前提で考えたほうがよさそうです。 自動更新が有効なサイトは、すでに7.1.4になっているはずです。気をつけたいのは、更新を手動で止めている案件と、Webサーバーの設定を自分で持っているVPSです。
💡 今すぐ試せる: 管理しているサイトが7.1.4（旧系列なら各系列の最新版）になっているかを確認する。VPSなら、Webから wp-content/upgrade/ を開けないようにサーバー側で遮断する。あわせて、知らない管理者や、置いた覚えのないPHPファイルが増えていないかを見る
Chrome 157（11/3）— HTMLをキャンバスに描ける、省略記号を好きな文字に
11月3日にChrome 157が公開されました。
出典: Chrome Platform Status — Chrome 157 Release Notes / Chrome for Developers — HTML-in-Canvas in Chrome 157 / GIGAZINE — Google Chrome 157 stable version released
いちばん話題になっているのはHTML-in-Canvasです。<canvas> の中にHTMLを置き、それを2DやWebGL、WebGPUの描画に取り込めます。これまでキャンバスに描いた文字は、選択もコピーも、ページ内検索も翻訳もできない「ただの絵」でした。HTML-in-Canvasでは、キャンバスに描いた中身もHTMLのまま扱われ、スクリーンリーダーや自動翻訳も効きます。Three.jsやPixiJSなどのライブラリも対応を進めています。
3Dや演出の多いサイトでは、文字の読みやすさとアクセシビリティを諦めなくてよくなる、という点が大きいと思います。 ただし対応はChromeだけなので、機能を判定して、未対応なら通常のHTMLで見せる作りが前提です。
日々の制作で効くのは、text-overflow に好きな文字列を指定できるようになったことです。1行で切り詰めたときの「…」を、「…続き」のような文字に替えられます。
See the Pen text-overflow: "文字列" — 省略記号を好きな文字に by BaseKENT (@basekent) on CodePen.
li {
white-space: nowrap;
overflow: hidden;
text-overflow: ellipsis; /* 未対応ブラウザはこちらを使う */
text-overflow: "…続き"; /* Chrome 157〜・Firefox */
}Firefoxは以前から対応していて、Safariは未対応です。先に ellipsis を書いておけば、未対応のブラウザは2行目を無視して「…」で表示するので、@supports もJavaScriptも要りません。
このほか、下線や取り消し線の長さを調整できる text-decoration-inset も入りました。リンクの下線を文字の両端より少し内側に収める、といった調整が、背景のグラデーションを使わずに書けます。
💡 今すぐ試せる: 自分のCSSを text-overflow: ellipsis で検索し、記事一覧やカードの見出しで、省略の印を変えたほうが分かりやすい箇所がないかを探す
WordPress 7.2 Beta 4（11/3）— 翻訳の更新を個別に選べるように
11月3日にWordPress 7.2 Beta 4が公開されました。Beta 3はどこへ行ったのかというと、10月28日の7.1.4と同時に出ていました。
出典: WordPress News — WordPress 7.2 Beta 4
Beta 4で目立つ変更は、翻訳の更新を1件ずつ選んで入れられるようになったことです。これまで翻訳は「まとめて更新」しかできませんでしたが、プラグインやテーマと同じように、更新画面で個別に確認できるようになります。新しい既定テーマ「Ipsum」は、キーボード操作時の見え方や右から左に書く言語への対応が直されました。
予定は変わらず、RC1が11月17日、正式版が12月8日です。RC1からは原則として新機能が入らないので、テーマやプラグインの動作確認をするなら、今がちょうどいい時期です。
クライアントの案件で翻訳の文言を自分で上書きしている場合、更新の中身を見てから入れられるのは地味にありがたい変更です。 7.2の正式版が出たら、まず更新画面の変化を確かめておきたいところです。
💡 今すぐ試せる: テスト環境で wp core update --version=7.2-beta4 を実行し（またはWordPress Playgroundで開き）、よく使うテーマとプラグインの管理画面に崩れがないかを確かめる
来週から月末までの予定 — Node.js、PHP 8.6、WordPress 7.2 RC1
11月は、制作環境に関わるリリースが続きます。日付が分かっているものを並べておきます。なお、ChromeとFirefoxは今年から2週間ごとのリリースになっています。
出典: Node.js — Wednesday, November 11, 2026 Security Releases / PHP.net — PHP 8.6.0 RC5 available for testing
- 11月10日（火）: Firefox 160（2週間サイクルどおりなら）
- 11月11日（水）: Node.js のセキュリティリリース。26.x・24.x・22.xが対象で、最も高い深刻度は「HIGH」と予告されています
- 11月17日（火）: Chrome 158（見込み）と、WordPress 7.2 RC1
- 11月19日（木）: PHP 8.6.0 の正式版
- 12月8日（火）: WordPress 7.2 の正式版
Node.jsは、ビルドに使っている人ほど見落としやすいところです。 本番のサーバーで動かしていなくても、手元やCIで古い系列を使い続けていることがあります。PHP 8.6は、出てすぐ本番に入れる必要はありません。ただ、レンタルサーバーで選べるようになったら、テスト環境で動作を見ておくと移行が楽になります。
💡 今すぐ試せる: 手元とCIで node -v を打ち、使っているNode.jsの系列を書き出しておく。26.x・24.x・22.xなら、11日以降に更新する。それより古い系列なら、サポート中の系列への移行を検討する
今週のひとこと
数秒しか開かない穴でも、修正から6日で悪用の確認まで進みました。運がよければ当たらない、という考え方はもう通じないようです。来週は、11日のNode.jsから更新の多い2週間が始まります。本番のサーバーだけでなく、手元のパソコンとCIも忘れずに確かめておきましょう。
