概要
WordPress本体のコアアップデーター機能に、深刻な競合条件の脆弱性が発見されました。
この脆弱性（CVE-2026-119977）は、CISA の Known Exploited Vulnerabilities（KEV）カタログに 2026年11月3日付で登録されており、実際の攻撃が確認されています。
影響を受けるバージョンは WordPress 4.7 〜 7.1.3 で、修正版の 7.1.4 が 2026年10月28日にリリースされています。
脆弱性の詳細
この脆弱性は TOCTOU（Time-of-Check to Time-of-Use）競合条件 と呼ばれる攻撃手法を利用します。
アップデート処理中、WordPress は一時ファイルを wp-content/upgrade/ ディレクトリに展開します。このパスは予測可能で、ウェブから直接アクセスできる状態になります。
一時インストーラーはライブ環境の wp-config.php を参照できないため、攻撃者がアップデートのタイミングを狙って独自のデータベース情報を送信すると、攻撃者の wp-config.php が本番環境のものに上書きされます。その後、攻撃者は管理者アカウントを作成し、悪意のあるプラグインをアップロードしてリモートコード実行（RCE）を達成できます。認証は一切不要です。
- CVE番号：CVE-2026-119977
- CVSSスコア：8.1（High）
- 攻撃の複雑さ：高（タイミングの競争に勝つ必要あり）
- 影響バージョン：WordPress 4.7 〜 7.1.3
- 修正バージョン：WordPress 7.1.4
- 発見者：Picus Security の Umut Bayram 氏
影響を受けるサイト
WordPress 4.7 から 7.1.3 を使用しているすべてのサイトが対象です。
特に以下のようなサイトはリスクが高い状態です。
- 自動アップデートが無効になっているサイト
- アップデートを手動で管理しているサイト
- 長期間アップデートを実施していないサイト
CISAは米国連邦民間機関（FCEB）に対し 2026年11月6日 までの修正を義務付けており、民間サイトにも即時対応を強く推奨しています。
推奨される対策
-
即時アップデートを実施する
WordPress 7.1.4（または各ブランチ向けバックポート版）に更新してください。バージョンは管理画面、またはWP-CLIのwp core versionコマンドで確認できます。 -
アップデートが困難な場合の暫定対応
Webサーバーの設定でwp-content/upgrade/へのウェブアクセスをブロックしてください（nginx・Apache いずれも設定可能）。 -
侵害の痕跡を確認する
アップデート後はwp-content/upgrade/配下へのPHPファイルアクセスログ、wp-config.phpの変更有無、管理者アカウントの追加、不審なプラグインのインストールがないか確認してください。 -
不審な点が見つかった場合
すべての認証情報（DBパスワード、管理者パスワード、シークレットキーなど）を速やかに変更してください。
参考情報
出典：Shattered.io — CVE-2026-119977 詳細分析
CISA KEVカタログ：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
WordPress運用保守はWPセキュリティセーフへ！
WordPress運用保守・緊急復旧に特化した専門サービス「WordPressセキュリティセーフ」。定期サポートでハッキング被害・マルウェア感染・改ざんなどのトラブルからWEBサイトを守ります。
WordPressセキュリティセーフ
