WordPress 7.1.4で修正された「アップグレード処理中のリモートコード実行」の脆弱性（CVE-2026-119977）が、実際の攻撃に使われていることが分かりました。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年11月3日、この脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加しています。影響を受けるのは4.7から7.1.3までの広い範囲で、まだ7.1.4（または各系列の修正版）に上がっていないサイトは、すぐに更新が必要です。
CVE-2026-119977は「コア更新中の一時ファイル」を狙う
NVD（米国の脆弱性データベース）に登録された説明によると、この脆弱性は、コアをフルパッケージで更新するときに使う作業用の展開先（staging path）が推測でき、しかもWebからアクセスできることが原因です。認証されていない攻撃者が、更新処理が走っている間の短い時間（upgrade window）を狙って、サーバー上でコードを実行できる可能性があります。
CISAのKEVでは、種類を「TOCTOU（Time-of-check Time-of-use）競合状態」、CWE-367として分類しています。チェックした時点と使う時点のわずかなずれを突く、いわゆるレースコンディションの一種です。深刻度は、CVEの採番機関であるWordfenceの評価でCVSS v3.1のベーススコア8.1（High）。攻撃の条件の難しさ（AC）は「High」とされていて、いつでも狙える種類の穴ではありませんが、認証が不要で、成功すれば機密性・完全性・可用性のすべてに大きな影響が出る評価になっています。
WordPress公式の7.1.4のアナウンス（10月28日）では、「アップグレード処理の弱点により、アップグレード中にリモートコード実行が起こりうる問題」として挙げられており、報告者はUmut Bayram氏です。7.1.4そのものの修正内容は、当サイトのWordPress 7.1.4で修正された脆弱性12項目のまとめで紹介しました。今回のニュースは、そのうちの1件が「すでに悪用されている」と公的に確認された、という続報です。
影響する系列と、修正済みのバージョン
NVDの登録情報では、影響を受けるバージョンは系列ごとに次のように示されています（以下の番号までが影響を受けます）。
- 7.1系：7.1.3まで（修正版は7.1.4）
- 7.0系：7.0.7まで（修正版は7.0.8）
- 6.9系：6.9.10まで
- 6.8系：6.8.11まで
- 6.7系・6.6系：それぞれ6.7.10・6.6.10まで
- このほか4.7系から6.5系までの各系列も対象
公式アナウンスによると、セキュリティ修正はセキュリティ修正の対象となっている4.7以降のすべての系列にバックポートされ、準備ができたものから順次配布されています。ただし、公式に積極的にサポートされているのは最新版だけです。古い系列にとどまっているサイトは、修正版が配られているかを個別に確かめる必要があり、手間を考えても、最新の7.1系に上げておくほうが確実です。
CISAが求めた期限は11月6日、攻撃の報告も
KEVへの追加日は11月3日、米国の連邦政府機関に対する対応期限（dueDate）は11月6日でした。追加から3日という短い期限で、対応内容としては、ベンダーの指示どおりの対策を適用することに加え、CISAの「フォレンジック・トリアージ」の要件に従うことも求められています（forensicTriageが「Yes」）。つまり、更新するだけでなく、侵害の痕跡が無いかも調べるよう求めている点が、通常のKEV追加より一段重い扱いです。ランサムウェアでの利用は「Unknown（不明）」とされています。
Security NEXTの報道によると、Wordfenceは、この脆弱性を狙った攻撃を直近24時間で1万3,000件以上ブロックしたと報告しています。CISAの指示は米国の連邦機関が対象ですが、攻撃そのものはWordPressで動くサイト全般が対象になりえます。
自分のサイトで確かめたいこと
- ダッシュボードの「更新」画面、またはWP-CLIの
wp core versionで、バージョンが7.1.4（7.0系なら7.0.8）以降になっているか - 自動更新（バックグラウンド更新）が無効になっていないか。
WP_AUTO_UPDATE_COREやautomatic_updater_disabledフィルターで止めているサイトは特に注意 - Gitやデプロイの仕組みでコアのファイルを管理している場合、手元のリポジトリ側も修正版に上げたか（本番だけ上がって、次のデプロイで古いコアに戻る事故を防ぐ）
- 11月初めまで未更新だったサイトは、見覚えのない管理者ユーザー、wp-content配下の不審なPHPファイル、更新日時がおかしいファイルが無いかを確認
今回の脆弱性は「更新している最中」が狙われるという点が少し皮肉です。更新を怖がって先延ばしにするほど、古いバージョンのまま次の更新のタイミングを待つ時間が長くなります。テーマやプラグインを開発している立場では、コアの更新を自社の検証が済むまで止める運用をしているケースも多いと思いますが、KEVに載ったものは「検証待ち」の対象から外し、先に当てる運用に切り替える判断基準を持っておくとよいと考えます。また、CISAが痕跡の調査まで求めている点を踏まえると、更新後に「上がったから終わり」とせず、ファイルとユーザーの棚卸しまでを一続きの作業として扱うのが安全です。
参考にした公式情報
- CISA Known Exploited Vulnerabilities Catalog（CVE-2026-119977、2026年11月3日追加）
- NVD – CVE-2026-119977
- WordPress.org News: WordPress 7.1.4 Security Release
- Security NEXT（2026年11月4日の記事）
2026年11月9日時点の情報です。
コメント