WordPress 7.1.4で修正された、本体のアップグレード処理を狙うリモートコード実行(RCE)の脆弱性「CVE-2026-119977」について、攻撃の試行が24万件を超えたと報じられました。Wordfenceの観測によるもので、狙われているのは更新処理中のごく短い時間です。まだ7.1.4(または各系列の修正版)にしていないサイトは、更新とあわせて点検を進めておきましょう。
何が報告されたのか
この脆弱性そのものは、以前の記事「WordPress 7.1.4で修正されたRCE、公開後24時間で約6.3万件の攻撃試行」でも取り上げました。今回の報道は、その後も攻撃が続き、規模がさらに大きくなっていることを伝えるものです。
- 攻撃の試行は合計で24万件以上(Wordfenceがブロックした件数)
- 攻撃が始まったのは2026年10月28日
- 特に多かったのは10月29日〜11月1日で、10月30日だけで7万4,000件以上をブロック
- 深刻度はCVSS 8.1(High)とされている
- 影響を受けるのは、修正前の4.7〜7.1.3の系列
なお、これらは「ブロックされた試行」の件数で、実際に乗っ取られたサイトの数ではない点に注意してください。被害件数については記事では触れられていません。
どんな仕組みの脆弱性か(おさらい)
本体をパッケージごと更新するとき、WordPressは/wp-content/upgrade/の下に作業用のディレクトリを作ります。修正前のバージョンでは、このディレクトリの名前が推測しやすく、しかも中にインストーラーのファイルが置かれた状態でWebからアクセスできてしまいました。
攻撃者は、更新の後片付けが終わるまでのわずかな時間にこのインストーラーへ到達し、別のインストールを走らせて管理者アカウントを作ったり、PHPファイルをアップロードしたりできる、とされています。観測された攻撃では、次のようなパスへのアクセスが確認されています。
/wp-content/upgrade/wordpress-6.9.11/setup-config.php
7.1.4では、作業用ディレクトリ名のランダム化などの対策が入っています。ただし、古いバージョンから更新するときは「古いほうの更新処理」が動くため、更新そのものの瞬間が最後の危ない時間になります。この点は「米CISA、WordPress本体のRCE脆弱性を「悪用確認済み」に追加」でも紹介しました。
攻撃元として挙げられたIPアドレス
報道では、特にリクエストの多かった攻撃元として次の3つが挙げられています。アクセスログの確認や、サーバー・WAFでの遮断の参考にしてください。
103.59.160.171(約7万4,900件)2001:df1:e8c0::106b(IPv6、約4万400件)51.89.103.78(約3万4,600件)
もちろん、攻撃元はこれだけとは限りません。IPの遮断は補助的な対策と考え、更新を最優先にしましょう。
運営者がやっておきたいこと
- 更新する: 7.1.4、または使っている系列の修正版に更新する。管理画面の「ダッシュボード」→「更新」でバージョンを確認。
- 更新前に塞ぐ: まだ更新していない場合は、
/wp-content/upgrade/以下のPHPファイルへのWebアクセスを、先に.htaccessやサーバー設定で禁止しておく。 - ログを確認する: アクセスログに、外部から
/wp-content/upgrade/以下のPHP(特にsetup-config.php)へのリクエストがないか探す。通常の更新では、外部からこれらのファイルにアクセスする必要はありません。 - 不審な痕跡を探す: 残ったままの作業用ディレクトリ、身に覚えのないプラグイン、知らない管理者アカウント、バックドアらしきファイルがないか確認する。
- 過信しない: 不審なリクエストがあっても、それだけで侵害されたとは限りません。逆に、ログに何もないからといって安全とも言い切れません。
Wordfenceを使っている場合
Wordfenceは、有料版(Premium)向けの保護を10月28日から提供しており、無料版への提供は11月27日の予定とされています。作業用ディレクトリのファイルはWordPress本体を読み込まずに単独で動くため、保護を効かせるにはファイアウォールを「Extended Protection」モード(最適化済み)にしておく必要がある、とのことです。無料版を使っている場合は、11月27日まで待たずに本体の更新を済ませておきましょう。
日本のサイト運営者にとって
攻撃は世界中のWordPressサイトを無差別に狙う形で行われており、日本のサイトも例外ではありません。特に、自動更新を止めているサイトや、レンタルサーバーで長く放置しているサイトは要注意です。複数のサイトを運営している場合は、すべてのサイトのバージョンを一度確認しておくと安心です。
