重要ポイント
- WordPress 本体に、アップグレード中の隙を突く認証不要のリモートコード実行(RCE)の欠陥が見つかり、2026年10月28日に 7.1.4 で修正されました
- 影響を受けるのは 4.7 から 7.1.3 まで。CVSS は 8.1(Wordfence の評価)で、CVE 番号は未割り当てです
- 修正の公開直後から攻撃の試みが続き、Wordfence は24時間で約63,000件を遮断したと報告しています
- 対処は 7.1.4 への更新。自動更新が有効なサイトは自動で更新されます(古い系列へのバックポートは順次公開)
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| WordPress 本体 | 4.7 〜 7.1.3 | 7.1.4(古い系列へのバックポートは順次公開) |
対処: 管理画面の「ダッシュボード → 更新」から 7.1.4 に更新します。コマンドなら wp core update(続けて wp core update-db)です。自動更新が無効のサイトは手動で更新してください。
確認: 管理画面の「ダッシュボード → 更新」、または wp core version で今のバージョンを確かめます。
概要
2026年10月28日、WordPress は 7.1.4 をセキュリティ リリースとして公開しました。修正の一つが、本体の更新(アップグレード)の途中に起こりうるリモートコード実行につながる弱点です。Wordfence は、修正の公開後すぐにこの弱点を狙う攻撃の試みが増え、24時間で62,969件を遮断したと報じられています。WordPress 本体を使っている方は、早めに 7.1.4 へ更新してください。
影響と対処
影響を受けるもの
WordPress 本体の 4.7 から 7.1.3 までが対象です。WordPress の公式発表によると、修正は「セキュリティ修正の対象になっている系列(現在は 4.7 まで)」に順次バックポートされます。古い系列を使っている場合は、各系列の修正版が出ているかを WordPress.org のお知らせで確かめてください。
どんな問題か
報道によると、本体のフルパッケージ更新で新しいファイルを展開する間、予測しやすい一時的な場所にインストーラーを含むファイルが置かれ、Web から届く状態になることがあります。更新のごく短い時間(Wordfence の実験では数秒)に限られますが、その間に狙われるとコードを実行されるおそれがあります。攻撃者は更新のタイミングを待ち構えるように、特定のファイルへ繰り返しアクセスしていると報じられています。
対処方法
- 7.1.4 に更新する(自動更新が有効なら自動で適用されます)
- 更新後、
wp-content/upgrade以下の PHP ファイルへのアクセスログに不審な記録がないかを確認する - 見覚えのない管理者アカウント、プラグイン、PHP ファイルがないかを確認する
- WAF を使っている場合は、ルールが最新であることを確かめる
確認方法
wp core version でバージョンを確認します。アクセスログでは、wp-content/upgrade 配下や setup-config.php への繰り返しのリクエストがないかを見てください。同じ時期に PHP 本体の重大な脆弱性(PHP2Shell)も公開されているので、PHP も最新の修正版になっているか合わせて確認すると安心です。
対応チェックリスト
- WordPress のバージョンを確認する
- 7.1.4 に更新する
- 更新後に管理者アカウント・プラグイン・PHP ファイルを確認する
- アクセスログで
wp-content/upgradeへの不審なリクエストを調べる - PHP も最新の修正版か確認する
出典
- WordPress 7.1.4(WordPress.org、2026年10月28日)
- WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours(The Hacker News、2026年10月30日。Wordfence の調査を紹介)
