はじめに：予約の受付は、止めにくいからこそ先に見ておきたい
整体院や教室、サロンなど、サイトから予約を受け付けているところでは、予約のカレンダーは「止まると困るもの」の筆頭だと思います。だからこそ、更新の案内が出ていても「予約が入らなくなったら困る」と後回しにしがちです。
予約受付のプラグイン LatePoint（正式名は「Appointment Booking Plugin – LatePoint」）の 5.7.0 以前のすべての版 に弱点があると、米国の脆弱性データベースで2026年10月1日に公表されました。深刻度は10段階で 9.1、利用数は10万以上です。
内容をかみくだくと、ログインしていない人が予約の流れの中で入れた値が、お客さん用のマイページの表示で、そのまま WordPress の「ショートコード」（[ ] で囲んだ短い命令で、部品を呼び出すしくみ）として動いてしまう、というものです。どんな部品が入っているかによって、影響の大きさが変わります。
開発元は 5.7.1 で修正 しており、11月3日時点の最新は 5.7.7（11月2日公開）です。悪用が確認されたという情報は、11月3日の時点では見つかっていません。ただ、公表から1か月がたち、自動で狙われやすい種類だとも評価されているので、版の確認は早めに済ませておきたいところです。
※2026年11月3日時点で公表されている情報をもとにしています。
私が「止めない順番」から考える理由
私は2016年からサイトの保守をしていて、旅行会社や整体院のサイトなど、500件以上の PHP 更新やトラブル対応をしてきました。脆弱性のニュースを見たお客さんから、「うちも急いだほうがいいのでは」と相談を受けることもあります。
整体院のサイトのときは、まずサーバー会社の対応を確かめてから、事前の検証をして、PHP、WordPress 本体の順に上げました。慌てて一度に触らず、何を確かめてから、何を上げるか を先に決めておくと、作業中に止まる時間を短くできます。予約のプラグインも同じで、次の3つを順に見れば、やることが決まります。
手順1：入っているかと、版の数字を見る
管理画面の「プラグイン」を開き、検索欄に LatePoint と入れます。
何も出なければ、今回の件は当てはまりません。別の名前の予約プラグインは、今回の公表の対象ではありません
LatePoint が出たら、名前の下にある版の数字を見ます。5.7.0 以前 なら対象、5.7.1 以降 なら修正が入っています
「停止中」で残っているなら、使わないなら削除、残すなら更新のどちらかにします。停止中のまま古い版を置いておくのは、おすすめしません
制作会社に作ってもらったサイトだと、予約のしくみがどのプラグインなのかを知らないこともあります。予約のページを開いて、画面の下のほうや管理画面のメニューに LatePoint の名前があるかを見ても分かります。
手順2：予約の入り方とマイページを、更新の前に見ておく
更新の前に、今の動きを一度見ておきます。あとで「更新したから変わったのか、もともとそうだったのか」を見分けるためです。
1. 予約のページを開き、空き枠が表示されるかを見る
2. 管理画面の LatePoint の予約一覧で、直近の予約がふだんどおり入っているかを見る
3. お客さん用のマイページ（予約の確認や取り消しができるページ）を使っているなら、そのページが開くかを見る
予約一覧に、覚えのない名前や、記号・[ ] のような文字が並んだ予約が入っていたら、消す前にその画面を残しておきます。ふつうの入力ミスのこともあるので、見つけてもすぐに慌てず、まず記録です。
今回の弱点は、このマイページの表示に関わるものです。マイページを使っていない場合でも、更新は済ませておきます。
手順3：予約の少ない時間に、5.7.7 へ上げる
更新は、予約が入りにくい時間帯を選びます。お店の定休日や、夜の遅い時間などです。
1. サーバー会社の管理画面などで、ファイルとデータベースのバックアップ を取る
2. プラグインの一覧から LatePoint を更新する（最新の 5.7.7 まで上げる）
3. 手順2で見た3つを、もう一度同じ順で確かめる
4. 自分の名前で試しに1件予約を入れ、予約一覧に入ったこと、確認のメールが届いたことを見てから、その予約を取り消す
5.7.1 のあとも、5.7.3 から 5.7.7 まで、更新のたびに安全面の修正が入っています。5.7.1 で止めず、最新まで上げておくのが安心です。
LatePoint の新しい版は、WordPress 6.5 以上・PHP 7.4 以上が必要です。WordPress 本体や PHP が古いままだと、更新の途中で止まることがあります。その場合は無理に進めず、先に本体と PHP の版を確かめます。
困ったとき：更新できない、予約が入らなくなったとき
更新のあとで予約のページが崩れたり、空き枠が出なくなったりしたら、何度も操作せず、取っておいたバックアップに戻します。戻したあとで、原因を落ち着いて調べます。
すぐに更新できない事情があるときは、その間だけ予約の受付をほかの方法（電話の受付など、お店ですでに使っている方法）に案内するという選択もあります。プラグインを停止すると予約のページは使えなくなるので、止める前に、サイトの目立つ場所に受付方法のお知らせを書いておきます。
自分で更新を始めたものの、テーマが古すぎて途中で手が止まった、というご相談もありました。予約のように止めにくいしくみほど、一人で抱えずに早めに相談するのが近道です。
まとめ
予約プラグイン LatePoint の 5.7.0 以前 に深刻度9.1の弱点が公表され、5.7.1 で修正 済み。最新は 5.7.7
更新の前に、予約のページ・予約一覧・マイページの3つを見ておく
更新は予約の少ない時間に、バックアップを取ってから。最後に試しの予約で確かめる
新しい版は WordPress 6.5・PHP 7.4 以上が必要
予約を止めずに進めるには、順番を決めておくことがいちばんの近道です。版の確認や更新の進め方に不安がある方は、下のおすすめのサービスも参考にしてください。
出典・参考
NVD（米国の脆弱性データベース）CVE-2026-92966: https://nvd.nist.gov/vuln/detail/CVE-2026-92966
WordPress.org「LatePoint」のページ（更新履歴）: https://wordpress.org/plugins/latepoint/
