WordPress 7.1.4で直った脆弱性を、CISAが悪用確認の一覧に加えました

OVERVIEW

WordPress 7.1.4 で直った本体の更新中の脆弱性には、10月31日に CVE-2026-119977 という番号が付きました。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年11月3日、この脆弱性を実際に悪用された脆弱性の一覧に加えています。10月30日の時点では攻撃の「試行」が観測されていた段階でしたが、悪用の証拠があるという公的な判断に変わりました。

何サイトが被害を受けたのか、どんな証拠に基づく判断なのかは公表されていません。

WordPress 7.1.4 で直ったこの脆弱性については、10月30日に公開直後から届いていた攻撃の試行を書きました。その後、この脆弱性には CVE 番号が付き、CISA とベルギーの国のセキュリティ機関が「悪用されている」と判断しています。ここでは、試行の段階から何が変わったのか、それが更新を済ませたサイトにとって何を意味するのかを、各機関と Wordfence、Patchstack の公開情報に沿って書きます。

米国のCISAが、WordPress 7.1.4で直った脆弱性を「悪用が確認された脆弱性」の一覧に加えた

CISA は、実際に悪用された脆弱性をまとめた一覧（Known Exploited Vulnerabilities カタログ、以下 KEV カタログ）を公開しています。米国時間の11月3日（日本時間では11月4日の早朝）、CISA はこの一覧に CVE-2026-119977 を追加しました。告知には、悪用されている証拠に基づいて加えたと書かれています。

カタログの説明によると、WordPress 本体を完全なパッケージで更新するときの一時的な置き場所は、場所が予測でき、Web からも開けます。そのため、更新が走っているあいだに、ログインしていない攻撃者がサーバー上でコードを実行し得ます。米国の連邦行政機関に対する対応の期限は2026年11月6日で、ランサムウェアの攻撃に使われたかは「不明」とされています。

同じ11月3日には、ベルギーの国のサイバーセキュリティ機関である CCB も、この脆弱性は実際に悪用されているとする注意を出し、十分に試したうえで最優先で更新するよう勧めています。

10月30日の時点で公表されていたのは、攻撃の「試行」の件数だった

10月30日までに分かっていたのは、この脆弱性を狙う要求がどれだけ届いたかでした。Wordfence は、ファイアウォールのルールを出してから最初の21時間で、18,500件を超える要求を記録しました。10月30日の The Hacker News は、Wordfence が直近24時間で62,969件の攻撃を防いだと伝えています。どちらも届いた要求の件数で、侵入に成功したサイトの数ではありません。

イギリスの NHS England Digital が同じ10月30日に出した注意も、深刻度は「Medium」でした。書かれていたのは、広い範囲の走査と悪用の試みが観測されていること、今後の悪用が見込まれることまでです。Patchstack は公開当日の10月28日に、攻撃の難しさを「高い」と評価し、実用的な攻撃とは言いにくいとしていました。この時点では、脆弱性に CVE 番号も付いていません。

番号が付いたのは10月31日です。Wordfence が CVE-2026-119977 を公開し、CVSS 3.1 の評価を8.1（High）としました。CISA は KEV カタログに加える条件として、CVE 番号があること、悪用の証拠があること、はっきりした対策があることの3つを挙げています。番号が付いた3日後に、CISA は悪用の証拠があると判断して一覧に加えました。

狙われているのは、本体の更新でWordPress一式が置かれている数秒間

影響を受けるのは WordPress 4.7 から 7.1.3 までです。Wordfence によると、これらのバージョンは完全なパッケージで本体を更新するとき、新しいファイルを wp-content/upgrade/ の下の、名前が予測できるフォルダへ展開します。この一時的なコピーにはインストーラーも含まれていて、多くのサーバーではこの場所に Web から届きます。

研究環境では、この置き場所が残っていたのは通常数秒でした。1回の要求で当たる見込みは小さい一方で、自動で要求を繰り返せば当たる確率は上がる、と Wordfence は書いています。CCB も、攻撃者は更新が走るその瞬間に当たることを狙って、WordPress のサイトを走査し続けていると説明しています。

WordPress 7.1.4 は、展開先のフォルダ名をランダムにするなどしてこの弱点を塞ぎました。古い系統にも WordPress 7.0.8、6.9.11、6.8.12 から 4.7.39 まで修正バージョンが出ていて、WordPress 4.6 以前には出ていません。7.1.4 で直ったほかの脆弱性は、WordPress 7.1.4 のリリースの記事で書いています。

何サイトが被害を受けたのか、証拠が何なのかは公表されていない

CISA の告知にもカタログの項目にも、被害を受けたサイトの数、どの国のサイトだったのか、どんな証拠に基づいたのかは書かれていません。CCB の注意にも件数はありません。今分かっているのは、悪用の証拠があると CISA が判断したところまでです。

11月6日という期限は、米国の連邦行政機関に向けた指令にもとづくもので、CISA もこの指令が適用されるのは連邦行政機関だけだと書いています。そのうえで、ほかの組織にも KEV カタログの脆弱性を優先して直すよう勧めています。11月4日の時点で、IPA と JPCERT/CC の注意喚起の一覧には、この件はまだ載っていません。

WordPress 7.1.4に上げても、それより前に入り込まれた跡は消えない

CCB は、最新のバージョンへ更新すればこれからの悪用は防げても、過去の侵入まで取り除くわけではないと書いています。CISA のカタログの項目にも、修正を当てる前に攻撃者に入り込まれていなかったかを調べる対象であることを示す印（forensicTriage: Yes）が付いています。

この脆弱性で狙われるのは、本体の更新が走っている時間です。Patchstack は、修正前のバージョンではこの時間が、自動更新を含めて更新のたびにやってくると書いています。修正前のバージョンのまま、どこかで本体の更新が走っていたサイトほど、更新したかどうかだけでなく、更新の前に何か置かれていないかまで見る理由があります。

修正前のバージョンだった期間があるサイトで見直すもの

まず、管理画面の「ダッシュボード」→「更新」で、WordPress 7.1.4 か、使っている系統の修正バージョンになっているかを見ます。そのうえで、修正前のバージョンだった期間があるサイトには、更新用のフォルダのまわりに不審な動きがなかったかを見直すよう Wordfence が勧めていて、次のものを挙げています。

• wp-content/upgrade/ の下にある PHP ファイルへの、見覚えのない要求
• 覚えのない管理者アカウント
• 入れた覚えのないプラグインや、置いた覚えのない PHP ファイル

Wordfence は、更新のあとにスキャンをかけて、本体のファイルが想定外に書き換わっていないか、不正なファイルがないかを確かめることも勧めています。Wordfence の無料版には、この攻撃を止めるファイアウォールのルールが2026年11月27日まで届きません。ルールが届いても本体の更新の代わりにはならない、と Wordfence 自身が書いています。

サーバーの PHP を新しくしても、WordPress 本体のバージョンは変わりません。PHP そのものの脆弱性は別の件で、PHP の脆弱性の記事で書いています。

参考にした一次情報

• CISA – CISA Adds One Known Exploited Vulnerability to Catalog（2026年11月3日）
• CISA – Known Exploited Vulnerabilities Catalog（CVE-2026-119977）
• CVE – CVE-2026-119977
• CCB Belgium – Remote command execution in WordPress Core during upgrade window actively exploited
• Wordfence – WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release
• Patchstack – WordPress 7.1.4 Security Release
• NHS England Digital – CC-4884（2026年10月30日）
• The Hacker News – WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours（2026年10月30日）

---