米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）が、WordPress本体の更新処理にある脆弱性「CVE-2026-119977」を、実際の攻撃で悪用が確認された脆弱性の一覧（KEVカタログ）に追加しました。10月28日公開のWordPress 7.1.4で修正された問題ですが、古いバージョンから更新するその1回の更新作業自体が狙われうる点が、改めて注目されています。
何が起きたのか
- CISAは11月3日（米国時間）、CVE-2026-119977の悪用を確認したとしてKEVカタログに追加しました。
- 米連邦政府の文民機関には、11月6日までの対応が求められています。CISAは民間の組織にも早急な対処を呼びかけています。
- ただしCISAは、実際の攻撃の詳細については明らかにしていません。
この脆弱性そのものと7.1.4の内容は、当サイトの「WordPress 7.1.4」セキュリティリリースの記事で、公開直後の攻撃状況は攻撃試行についての記事で取り上げました。今回は、米政府機関が「現に悪用されている」と認めた、という段階に進んだことになります。
脆弱性のしくみ(おさらい)
- 種類は、確認と使用のタイミングのずれを突く「競合状態（TOCTOU）」。認証なしで、サーバー上でコードを実行される恐れがあります。攻撃の難易度は高めとされています。
- 7.1.3までは、本体をまるごと更新するとき、
wp-content/upgrade/の下に名前が予測できるフォルダを作って一時的に展開していました。 - そのフォルダには初期設定用の
setup-config.phpも含まれるため、更新の最中に攻撃者がアクセスして偽の設定ファイルを作らせ、それが本番のwp-config.phpに上書きされてしまう、という流れです。 - 修正版では、一時フォルダ名にランダムな文字列を付け、一時的な
wp-config.phpがコピーされないようにしています。
「7.1.4に更新すれば安心」とは限らない理由
Cyber Kendraが紹介した研究者側の説明によると、まだ修正されていないバージョンのサイトが7.1.4へ更新するとき、その更新作業は古い（修正前の）更新処理で行われます。つまり、更新している最中の短い時間が狙われる可能性があります。
- 手動で本体を更新する場合は、本体一式のパッケージが使われるため、この問題の対象になるとされています。
- 一方、マイナー版の自動更新では、インストーラーを含まない差分パッケージが使われるとされています。
- 攻撃者が、少数のサイトに十数時間にわたって繰り返しアクセスし、更新のタイミングを待ち構えていたとみられる動きも報告されています。
なお、記事の時点では、攻撃が成功した事例や、公開された攻撃コード（PoC）は確認されていないとされています。
WordPress運営者がやること
- バージョンを確認する：管理画面の「ダッシュボード」→「更新」、またはWP-CLIで
wp core version。修正済みは7.1.4のほか、古い系列向けの7.0.8、6.9.11、6.8.12など（記事によれば4.7系まで修正版が出ています）。 - 更新前に、upgradeフォルダへの外部アクセスを止める：Webサーバーの設定で
/wp-content/upgrade/へのアクセスを拒否しておくと、更新中に狙われる余地を減らせます。設定を変えられないレンタルサーバーの場合は、サーバー会社のWAFやセキュリティ機能の状況も確認しましょう。 - 更新後にファイルの整合性を確かめる：WP-CLIが使えるなら
wp core verify-checksumsで本体ファイルが改ざんされていないかを確認できます。 - 侵害の兆候を確認する：アクセスログで
/wp-content/upgrade/配下へのリクエスト（特に同じURLへの繰り返しのPOST）がないか、wp-config.phpの変更、見覚えのない管理者ユーザーやプラグインがないかを見ます。怪しい点があれば、信頼できるバックアップから復元し、データベースのパスワードや認証用キー（ソルト）を変更します。
セキュリティプラグインWordfenceはこの攻撃を防ぐルールを用意していますが、記事によれば無料版への配信は11月27日になるとのことです。無料版だけに頼っている場合は、上の対策を自分で行っておくのが安全です。
日本のサイト運営者にとっての意味
CISAの期限は米政府機関向けのものですが、「実際に悪用されている」というお墨付きが付いたことで、攻撃はさらに広がる可能性があります。日本のサイトも対象外ではありません。まだ7.1.3以前のまま止まっているサイトや、クライアントから預かっていて更新が後回しになっているサイトがあれば、今週中に、上の手順を踏まえて更新しておきましょう。
出典: BleepingComputer「CISA flags WordPress RCE flaw as actively exploited in attacks」、Cyber Kendra「CVE-2026-119977: WordPress 7.1.4 Update Can Still Expose RCE」
