要点
- WordPress 本体に、本体を更新している数秒の間なら、ログインしていない人でもサーバー上でプログラムを動かせる欠陥があった。
- 米国の CISA（サイバーセキュリティ・インフラセキュリティ庁）は 2026年11月3日、この欠陥を「実際に悪用されている欠陥」の一覧（KEV）に入れた。
- 4.7 から 7.1.3 までのほぼすべての版が当たる。7.1.4 か、自分の系列の修正版に上がっているかを、いますぐ確かめたい。
何が起きたか
WordPress は 2026年10月28日（米国時間）、セキュリティの修正版 7.1.4 を出した。直した欠陥は 22件ある。番号は CVE-2026-119977 で、報告したのは研究者の Umut Bayram 氏である。
最悪の場合、サイトを乗っ取られうる。WordPress の advisory は、更新が走っている間にうまく割り込めた攻撃者なら、ログインしていなくてもサーバーでコードを動かせると説明している。原因は、更新ファイルの一時置き場にあった。置き場の場所は前もって分かり、しかも Web から開ける位置にあった。
深刻度の見方は分かれている。WordPress 自身の評価は「Low」だ。Patchstack も、狙える時間が数秒しかないので、実際に使うのは難しいと見る。これに対し、CVE 番号をつけた Wordfence は、10点満点の CVSS で 8.1（High）とした。
それでも、この経路を探る動きはすぐに出てきた。Wordfence は新しいファイアウォールのルールを配り、ルールに最初に引っかかった要求は配ってから9分後だったという。その後の21時間で、一時展開された setup-config.php の経路をねらう要求は1万8,500件を超えた。この数は経路をねらった要求の数で、欠陥をそのとおりに突いた攻撃の数でも、成功した数でもない。SecurityWeek によると、侵入に成功した例について Wordfence からの報告は出ていない。
そのあと、CISA は11月3日にこの欠陥を KEV に入れた。KEV は、悪用の証拠を CISA がつかんだ欠陥の一覧だ。米国の連邦機関は11月6日までに対応しなければならない。CISA は今回、侵入の跡を調べること（フォレンジック調査）も求めている。
日本の利用者への影響
今回の欠陥は追加の部品（プラグイン）ではなく、本体にある。そのため、日本のサイトかどうかに関係なく、ほぼすべての WordPress のサイトが当たりうる。
日本の組織に被害が出たかどうかについて、今回あたった一次情報には記述がない。サーバー会社が更新を止めたり、代わりに管理したりしている場合もある。自分の契約するサーバー会社のお知らせを見てほしい。
今すぐやること
- 版を確かめる。 管理画面の「ダッシュボード」→「更新」を開き、7.1.4 になっているかを見る。古い系列を使うなら、その系列の修正版（たとえば 7.0.8 や 6.9.11）になっているかを見る。
- 自動更新を当てにしすぎない。 WordPress は、自動更新が有効なサイトなら自動で上がるとしている。ただ、自動更新を止めたサイトや、制作会社やサーバー会社が更新を止めているサイトは古いままだ。Wordfence は、更新済みだと思い込まず、実際に確かめるよう勧めている。
- 一時置き場を外から開けないようにする。 Patchstack は、Web サーバーの設定で
wp-content/upgrade/へのアクセスを断つよう勧めている。Rescana は、修正版へ上げる最後の更新も古い版のコードで進むと自分たちの読みとして述べ、この設定を更新の前に済ませるよう勧める。自分でできなければ、サーバー会社か制作会社に頼む。 - 侵入の跡を見る。 覚えのない管理者の利用者、入れた覚えのないプラグインやファイルがないかを見る。不安なら、専門の会社か制作会社に調べてもらう。
- 4.6 より古い版は乗り換える。 4.6 以前に修正は出ない。新しい版への移行を急ぐ。
背景
今回の欠陥は「レースコンディション」と呼ばれる種類のものだ。確かめてから使うまでのわずかな間に、別の誰かが割り込める。WordPress の更新では、新しいファイルを決まった場所に広げてから入れ替えていた。そこがネットから届くうえ、場所も予測できたことが原因だ。Patchstack によると、問題のコードは WordPress 2.8 のころからあった。
WordPress のセキュリティ対策プラグインでは、この攻撃を止めきれない場合がある。Wordfence は、攻撃の要求が WordPress を通らずに、一時置き場に広げられたファイルへ直接届くと説明する。Patchstack の説明は少し違う。一時置き場のコピーは、自分の中にあるファイルを使って WordPress を起動する。そのため、サイトに入れたファイアウォールの仕組みが、その要求では働かないという。
WordPress 本体では、この少し前にも別の欠陥（CVE-2026-87902）が見つかっていた。7.1.3 の公開から3週間で、また修正版が出た形だ。本体は、だいたい自動で更新される。だから「いつの間にか直っている」と思いがちだ。しかし、自動更新が止まったサイトは、こうした欠陥を抱えたまま放っておかれやすい。
技術者向けの詳細
- 当たる版: WordPress Core 4.7.0〜7.1.3（全系列）。CWE-367（TOCTOU）。Wordfence の CVSS 3.1 は 8.1
AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。WordPress の GHSA は Low - 修正版: 7.1.4, 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14, 6.3.14, 6.2.15, 6.1.16, 6.0.18, 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31, 4.9.35, 4.8.34, 4.7.39。4.6 以前に修正はない。7.2 Beta 3 にも修正が入った
- 直し方（Wordfence の説明）: 一時置き場の名前を推測できないものに変えた。あわせて、置き場の設定データが本番側へ持ち込まれる危ない流れを断ち、index によるガードも足した
- KEV: 2026-11-03 に追加、期限は 2026-11-06、
forensicTriage: Yes。ランサムウェアでの利用は「Unknown」 - 版の確認（WP-CLI）:
wp core version
wp core check-update
- 暫定策（Patchstack の勧め）: Patchstack によると、更新していないときの
wp-content/upgrade/には、ふつうindex.phpしか置かれていない。PHP で動く WAF はこの要求に関わらないことがあるので、Web サーバーの設定で閉じる。閉じたあと、外から中身の一覧が見えないかも確かめる - 調べること（Wordfence の目印。Rescana のまとめから）:
- アクセスログ: 本体の更新があった時刻の前後に、
wp-content/upgrade/以下の PHP への要求がないか（一時展開のsetup-config.phpも含めて見る） - サイトの中: 自分で足していない管理者・プラグイン・PHP ファイルがないか
- アクセスログ: 本体の更新があった時刻の前後に、
- IOC: 公開された IP やハッシュはない（WordPress・Wordfence とも。2026-10-31 時点の Rescana の確認）
- Wordfence の防御ルール: 有料の利用者には 10月28日に配った。無料版には 11月27日に届く予定とされる
