WordPressの脆弱性（CVE-2026-119977）｜更新時のRCEで悪用を確認
公開
WordPress は2026年10月28日、セキュリティの修正を含む WordPress 7.1.4 を公開し、すぐに更新するよう求めました（WordPress.org の2026年10月28日の発表）。 修正した13件のうち1件は、本体を更新している最中に、認証なしの第三者にコードを実行されるおそれがあるものです。 米国の CISA は2026年11月3日（現地時間）、この脆弱性（CVE-2026-119977）を「悪用が確認された脆弱性」の一覧（KEV）に加えました。WordPress でサイトを動かしている会社が対象です。
公表された内容
- 中身：本体を丸ごとのパッケージで更新するとき、新しいファイルを、Web から見える更新用のフォルダの中の、予測できる場所に展開していた。認証のない第三者がこの処理との競合（レースコンディション）に勝つと、リモートでコードを実行できるおそれがある（WordPress の2026年10月29日のアドバイザリ）
- 対象の版：7.1.0〜7.1.3、7.0.0〜7.0.7 のほか、6.9 系から 4.7 系までの各版（同アドバイザリ）
- 修正版：7.1.4。古い系統には 7.0.8・6.9.11・6.8.12 など、4.7.39 まで修正を移した版が出ています（同アドバイザリ）。WordPress は、積極的にサポートするのは最新版だけとしています（WordPress.org の発表）
- 深刻度：WordPress のアドバイザリでは「Low（低）」とされ、CVSS の値は書かれていません
- 悪用の有無：CISA は悪用が確認されたとして2026年11月3日に KEV に加え、米国の行政機関に11月6日までの対応と、侵害がないかの調べを求めています（CISA の KEV）
- 自動更新：自動のバックグラウンド更新が有効なサイトは、自動で更新が始まるとしています（WordPress.org の発表）
- 同じ 7.1.4 では、ほかに保存型のクロスサイトスクリプティング（XSS）など12件も修正されています（WordPress.org の発表）
中小企業が今日からできること
- 版を確かめる：自社のサイト（採用サイト・ブログ・キャンペーンのサイトも）の管理画面で WordPress の版を見て、7.1.4 か、使っている系統の修正版（7.0.8・6.9.11 など）になっているかを確かめる
- 自動更新の設定を見る：本体の自動更新が止まっていないかを確かめる。制作会社や保守会社に任せているなら、更新した日と版を書面で確かめる
- 古い系統はこの機会に上げる：修正は古い系統にも出ていますが、積極的に支えられているのは最新版だけです。古い版のままのサイトは、最新版へ上げる日を決める
- 更新のあとに見慣れないファイルがないか確かめる：サーバーの更新用のフォルダ（wp-content/upgrade など）や公開フォルダに、覚えのない PHP のファイルが増えていないか、管理者のアカウントが増えていないかを見る
- 使っていないサイトを止める：昔のキャンペーンのサイトなど、更新されずに残っている WordPress がないかを書き出し、要らないものは止める