重要ポイント
- 何が起きたか: 10月28日に修正された WordPress 本体の脆弱性(CVE-2026-119977)が、2026年11月3日に CISA の KEV(悪用が確認された脆弱性)に追加されました
- 影響: WordPress 4.7〜7.1.3。本体の更新中の短い間に、認証なしでコードを実行されるおそれがあります(CVSS は Wordfence の評価で 8.1)
- 対処: 7.1.4 に更新。更新後は管理者アカウントとファイルの確認を
- 期限: 米国の連邦機関の対応期限は11月6日です
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| WordPress 本体 | 4.7〜7.1.3 | 7.1.4(古い系列へのバックポートは順次公開) |
対処: 管理画面の「ダッシュボード → 更新」から 7.1.4 に更新します。コマンドなら wp core update(続けて wp core update-db)です。
確認: wp core version で今のバージョンを確かめます。
概要
10月28日にお伝えした WordPress 本体の更新中のコード実行の欠陥に CVE-2026-119977 が割り当てられ、2026年11月3日、CISA が悪用を確認したとして KEV カタログに追加しました。CISA は米国の連邦機関に11月6日までの対応を求めています。自分のサイトが自動更新でない場合は、今すぐ 7.1.4 に更新してください。
影響と対処
影響を受けるもの
WordPress 本体の 4.7 から 7.1.3 までです。CISA の説明では、本体のフルパッケージ更新の間に使われる、予測しやすく Web から届く一時的な場所が原因の「競合状態(TOCTOU)」の弱点で、認証のない攻撃者が更新の間にコードを実行できるおそれがあります。
対処方法
- 7.1.4 に更新する(自動更新が有効なら自動で適用されます)
- 更新後、見覚えのない管理者アカウント・プラグイン・PHP ファイルがないか確認する
wp-content/upgrade配下へのアクセスログに不審な記録がないか調べる- WAF を使っている場合はルールを最新にする
確認方法
wp core version でバージョンを確認します。CISA は侵害の調査(フォレンジックの初期確認)も求めているため、更新前に攻撃を受けた可能性がある場合は、ファイルとアカウントの確認まで行ってください。
対応チェックリスト
- WordPress のバージョンを確認する
- 7.1.4 以降に更新する
- 管理者アカウント・プラグイン・PHP ファイルに不審なものがないか確認する
- アクセスログで更新のタイミングの不審なリクエストを調べる
出典
- CISA 既知の悪用された脆弱性カタログ(CVE-2026-119977)(CISA、2026年11月3日)
- WordPress 7.1.4(WordPress.org、2026年10月28日)
- WordPress Core 4.7.0〜7.1.3 の脆弱性(Wordfence)
