WordPress本体のCVE-2026-119977が悪用確認、更新作業の最中にコードを実行される — 7.1.4への更新と更新担当の決め方
米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年11月3日、WordPress本体の脆弱性CVE-2026-119977を、悪用が確認された脆弱性の一覧（KEV）に追加した。WordPress本体を更新している最中に、認証なしの攻撃者がサーバー上でコードを実行できるおそれがある。影響を受けるのは4.7から7.1.3までで、WordPress.orgは10月28日に修正版の7.1.4を公開している。会社のホームページや採用サイト、キャンペーンサイトをWordPressで動かしている企業は、まず現在のバージョンを確かめてほしい。
背景
脆弱性の説明（NVD、10月31日公開）によると、WordPress本体をパッケージ全体で更新する際に使う作業用の置き場所が推測でき、しかもWebから到達できる。そのため、更新処理が走っているわずかな時間に、外部の攻撃者がサーバー上でコードを実行できる。種類としては、確認した時点と使う時点のずれを突く「競合状態」（CWE-367）に当たる。深刻度の評価（CVSS 3.1）は8.1で、更新のタイミングを狙う必要があるため攻撃の難しさは「高」とされている。
それでもCISAは実際の悪用を確認し、米国の連邦機関に11月6日までの対応を求めた。侵害の痕跡を調べる対象にも指定している。
修正版の7.1.4は、WordPress.orgが10月28日に「直ちに更新を」として公開したセキュリティリリースで、今回の問題を含む13件を修正した。修正は4.7系までの旧系統にも順次提供するとしているが、積極的にサポートしているのは最新版だけだと明記している。自動更新が有効なサイトでは、更新が自動で始まる。
WordPress本体では9月にも、未認証でコードを実行される別の脆弱性CVE-2026-87902の悪用が確認されたばかりである。2か月続けて本体の脆弱性が悪用リストに載ったことになる。
リスクの全体像
中小企業のWordPressサイトで多いのは、制作会社に作ってもらい、公開後の更新は誰の担当か決まっていない状態である。管理画面に入る人がいなければ、本体のバージョンが何なのかも分からない。今回の脆弱性は4.7から7.1.3までと範囲が広く、数年前に作ったきりのサイトはほぼ対象になる。
サーバー上でコードを実行されると、サイトの改ざんだけでは済まない。問い合わせフォームに届いた氏名や連絡先の盗み出し、訪問者を偽サイトへ転送する細工、同じサーバーにある別のサイトやデータベースへの侵入につながる。採用サイトであれば、応募者の履歴書が置かれていることもある。
攻撃が成り立つのは更新作業の最中に限られる。一方で、古いバージョンのまま放置したサイトは、ほかの既知の脆弱性も抱えたままになる。更新を止めておけば安全という考え方は通らない。
チェックリスト
WordPressで動くサイトを持つ企業は、次の点を確かめる。
- 自社が持つWordPressサイトを、本体サイト・採用サイト・キャンペーンサイト・ブログまで含めて一覧にしているか
- 各サイトの本体のバージョンが7.1.4以上か（7.1系以外を使っている場合は、その系統の修正版が出ているか）
- 本体の自動更新が有効か。制作会社やサーバー会社の判断で止めていないか
- 更新作業を誰が、どの頻度で行うかを契約や社内の担当で決めているか
- 管理画面のログイン履歴や、見覚えのない管理者アカウント・ファイルがないかを確かめたか
- サイトのファイルとデータベースのバックアップを取り、戻せることを確かめているか
打ち手
最初にやることは、7.1.4への更新である。自動更新が有効なら、管理画面の「更新」画面でバージョンを確かめるだけでよい。自動更新を止めている場合は、バックアップを取ったうえで手動で更新する。プラグインやテーマとの相性を理由に本体の更新を止めているなら、その理由が今も当てはまるかを制作会社に確かめる。
次に、侵害を受けていないかを確かめる。CISAは今回の脆弱性を、痕跡の調査が必要な対象に指定している。更新後に、管理者アカウントの一覧、最近変更されたファイル、サイトの表示に不審な転送がないかを見ておく。自社で判断できなければ、サーバー会社や制作会社に調査を頼む。
最後に、更新の担当を決める。WordPressの本体とプラグインは毎月のように修正が出る。制作会社との保守契約に本体の更新が含まれているか、含まれていなければ社内の誰が月1回確認するかを決めておく。使っていない古いキャンペーンサイトは、更新を続けるより閉じた方が早い。
更新されないWordPressサイトは、会社の名前で公開された入口になる。
あわせて読みたい
- WordPress本体に未認証で任意コード実行の恐れ（CVE-2026-87902）悪用を確認、4.7系以降は今すぐ更新を
- WordPress脆弱性 2026年1-3月 ― AIプラグインが攻撃経路に
- LiteSpeed cPanelプラグインのシンボリックリンク脆弱性 CVE-2026-54420 ― 共有ホスティングでの権限昇格
Omamori AI の結論
- 事実: WordPress本体の4.7から7.1.3に、更新作業の最中に認証なしでコードを実行される脆弱性（CVE-2026-119977）がある。CISAは11月3日に悪用を確認し、修正版の7.1.4は10月28日に公開済みである。
- 判断軸: 自社のWordPressサイトをすべて把握し、それぞれの更新を誰が担っているかを問う。
- 打ち手: 全サイトを7.1.4以上に更新し、管理者アカウントと変更されたファイルを点検する。自動更新を有効にし、保守契約で更新の担当を決める。
経営者視点で考えるべきこと
ホームページは会社の顔として作られるが、公開した後の保守は後回しになりやすい。制作費は払っても、更新作業の費用は払っていない会社は多い。改ざんされたサイトから訪問者が偽サイトへ送られれば、被害を受けるのは顧客で、説明の責任を負うのは自社である。経営者が確かめるべきことは3つある。自社名で公開しているWordPressサイトが何本あるか。それぞれの更新を誰が、いくらの契約で行っているか。使っていないサイトを閉じる判断を誰がするかである。月数千円の保守契約を惜しんだ結果、事故対応に数百万円かかる例は珍しくない。
