要点
- WordPress 本体の更新作業そのものが、サイトを乗っ取られる隙になりうる欠陥が報告された。
- 修正版 7.1.4 に上げる最初の更新でも、古い更新機能が動くため、隙が残るとされる。
- 更新の前に、特定のフォルダへの外部からのアクセスを止めておくのが安全だと、報告した研究者の所属先は勧めている。
何が起きたか
WordPress は本体を更新するとき、新しい版のファイルをいったん作業用のフォルダに展開する。この展開先が推測しやすい名前で、しかも外部から見える場所にある。更新が終わるまでの短い間に、そこへ外部の第三者が先回りすると、サイトの上で好きなプログラムを動かされうる。
これは、セキュリティ会社 Picus Security の Umut Bayram が見つけ、報告した。WordPress は 2026年10月28日に 7.1.4 を出した。WordPress 自身の advisory は、深刻度を「低」としている。条件が「更新中の競争に勝つこと」に限られるためと読める。
一方、CVE-2026-119977 の番号では、CVSS（深刻さの点数）が 8.1 とされる。Picus の解説によると、CISA（米国のサイバー防衛機関）は 11月3日、この欠陥を「悪用が確認された欠陥」の一覧に加えた。つまり、実際に攻撃に使われているという扱いだ。
厄介なのは、修正版に上げる作業が完全には安全でない点だ。更新を実行するのは、いま動いている古い版の更新機能である。そのため、修正前の版から 7.1.4 に上げる最初の1回は、古いやり方で展開される。Picus は、この最初の更新でも危険が残ると説明している。
なお、展開先の名前にランダムな文字が入る版（4.4〜5.8 系）は、推測されにくい。ただし、エラー表示などで名前が漏れれば同じ危険がある、と Picus は述べている。
日本の利用者への影響
WordPress は日本でも、企業サイト、メディア、店舗サイトなどで非常に多く使われている。日本の組織への被害については、今回確かめた一次情報では述べられていない。ただ、製品が広く使われているので、自分のサイトが対象かを確認する価値は大きい。
対象は WordPress 4.7 から 7.1.3 までと、advisory に書かれている。4.6 以前は修正が出ない。Picus はこれらを、サポートされる版へ上げるべきだとしている。レンタルサーバーの「かんたん更新」や自動更新を使っている場合に、どう影響するかは、今回確かめた一次情報では述べられていない。サーバー会社の案内を見るのがよい。
今すぐやること
- 自分のサイトの WordPress の版を確かめる。
- 更新の前に、
wp-content/upgradeフォルダへの外部からのアクセスを止める。サーバーを管理する人か、契約中のサーバー会社に頼む。Picus はこの手順を最初に勧めている。 - 止まったかを確かめる。このフォルダのアドレスを開いて、「アクセス禁止（403）」が返ればよい。
- 7.1.4（古い系列なら、その系列の最新の修正版）へ更新する。Picus は、WP-CLI（コマンドで更新する道具）でも同じ危険があるので代わりにならない、と述べている。自分で作業できる人向けに、公開場所の外で展開して置き換える方法も示している。
- 更新後、知らない管理者アカウント、入れた覚えのないプラグイン、置いた覚えのないファイルがないかを見る。
メンテナンス表示（工事中の画面）や自動更新が守りになるかは、今回の一次情報では確かめられていない。メンテナンス表示は見た目を変えるだけで、展開先フォルダへのアクセスを止めるとは限らない、と考えておくのが無難だ。この点は「未確認」である。
背景
更新機能は、サイトの中でいちばん強い権限を持つ部品のひとつだ。そのため、更新の仕組みの欠陥は、一般の機能の欠陥より重くなりやすい。今回は、直す側の更新作業が、直す前の欠陥に頼ってしまう形になった。
WordPress は、通常は管理画面から自動で更新が進むので、利用者が気にしない部分でもある。だからこそ、更新を急ぐより「更新の前に入口を閉じる」という順序が要る。
技術者向けの詳細
- CVE: CVE-2026-119977。CVSS 8.1（Picus の記載）。WordPress の advisory は深刻度「低」、CVE 番号は記載なし。
- 修正版: 7.1.4、7.0.8、6.9.11、6.8.12 ほか、4.7.39 まで各系列に提供。2026-10-28 公開。
- 影響: advisory は 4.7.0〜7.1.3 を列挙。Picus は更新機能の挙動として 2.7.0〜7.1.3 を挙げる。4.6 以下に修正なし。
- 該当する更新パッケージ: full、no-content、new-bundled は常にインストーラ一式を含む。partial、rollback は、そのアーカイブに該当ファイルが含まれる場合のみ。
- 展開先名: 2.7.0〜2.7.1 は固定。2.8.0〜4.3.35 と 5.9.0〜7.1.3 はパッケージ名から導出。4.4.0〜5.8.18 はランダムな接尾辞。
- 先に行う緩和（Picus の勧め）: Nginx/Apache の設定で
wp-content/upgrade/への HTTP アクセスを拒否。設定を触れない場合のみ、ルートの.htaccessで転送。upgrade内に.htaccessは置かない（古い更新機能が中身を消す）。403 を確認してから更新。 - 痕跡の候補:
wp-content/upgrade配下の PHP への不審なリクエスト、不明な管理者、覚えのないプラグイン、同フォルダ内の見覚えのない PHP。 - 公開の GitHub コードが悪用用とされるが、動作するかは確かめられていない。
- 詳細は advisory と Picus の解説 を参照。
