WordPressの脆弱性CVE-2026-119977｜更新中にコード実行、悪用確認と修正版7.1.4

CVE-2026-119977は、WordPress本体を完全なパッケージで更新するときに、新しいファイルをWebから届くupgradeフォルダの中の予測できる場所へ展開していたことによる競合状態の脆弱性（CWE-367）です。その展開との競争に勝った認証されていない攻撃者が、リモートでコードを実行できるおそれがあります。[1][4]

WordPressは2026年10月28日に7.1.4を公開し、この問題を含む複数のセキュリティの修正を入れました。[2]

対象はWordPress本体の4.7系列から7.1系列までの、修正版より前の版です。プラグインやテーマの有無に関係なく、本体の版で決まります。[1][4]

攻撃が成り立つのは、完全なパッケージを使う本体の更新の最中（CVEの記録の言葉では「更新の時間帯」）だけです。CVEの記録にあるWordfenceのCVSS v3.1は8.1で、認証は不要、攻撃の複雑さは「高」と評価しています。WordPressのアドバイザリは深刻度を「Low」としていて、評価者によって違います。[1][4]

米CISAは2026年11月3日（米国時間）に、CVE-2026-119977をKEVへ追加し、米連邦政府機関の対応期限を11月6日としました。KEVでは、更新の前に侵害の有無を調べる対象（Forensic Triage）に指定されています。ランサムウェアでの使用は「不明」です。[3]

WordPressのアドバイザリと7.1.4の公開の記事に、悪用についての記載はありません。2026年11月9日に確認した時点で、JPCERT/CCの注意喚起の一覧にこの脆弱性はありません。[1][2]

展開先のupgradeフォルダはWebから届く場所にあるため、インターネットに公開しているWordPressのサイトが対象になります。会社のサイト・ブログ・採用サイトなど、WordPressで動いているサイトを一覧にし、それぞれの版を確かめます。[1]

WordPressのアドバイザリに、攻撃された場合の痕跡の記載はありません。[1]米CISAはKEVでこの脆弱性を、更新の前に侵害の有無を調べる対象に指定しています。CISAが米連邦政府機関向けに示す手順では、更新すると痕跡が失われるおそれがあるため、記録を先に集めてから更新し、次の点を調べます。[3][5]

1. 更新を入れる前に、調べるのに要る記録（サーバーのアクセスログ・エラーログ、ファイルの一覧など）を集め、何をいつ誰が集めたかを記録する
2. サイトやサーバー、管理者のアカウントへの許可のないアクセスが無いか
3. サーバーから他の機器へ広がった形跡が無いか
4. 居座るための仕掛け（永続化）が残っていないか
5. データを集めて持ち出した形跡が無いか

7.1系列は7.1.3以前が対象で、7.1.4で直ります。他の系列にも修正が移されていて、7.0系列は7.0.8、6.9系列は6.9.11、6.8系列は6.8.12、いちばん古い4.7系列は4.7.39で直ります。[1]

2026年11月9日に確認した時点で、WordPressの配布元が提供している各系列の最新版は、表の修正版と同じです。[6]7.1.4には、この脆弱性のほかに、保存型のクロスサイトスクリプティングなどのセキュリティの修正も入っています。[2]

1. 管理画面（ダッシュボード）の「更新」を開き、いまの版と更新の有無を確かめます。[2]
2. 「今すぐ更新」を押して更新します。WordPress.orgから7.1.4を入手して入れ替えることもできます。[2]
3. 自動のバックグラウンド更新に対応したサイトでは、更新が自動で始まります。自動で上がったかは「更新」の画面で版を見て確かめます。[2]
4. 更新を入れる前に、上の「攻撃を受けていないかの確認」の記録を集めておきます。[5]
5. 制作会社・保守の会社に頼むときは、サイトのURLと管理画面の場所、いまの版、更新前にバックアップと記録を取ることを伝えます。

WordPressのアドバイザリと7.1.4の公開の記事に、回避策の記載はありません。[1][2]

修正は4.7系列まで移されていますが、WordPressは、積極的にサポートしているのは最新の版だけだとしています。[1][2]アドバイザリとCVEの記録の対象は4.7系列からで、4.7より前の版は挙がっていません。古い系列を使っている場合も、その系列の修正版か最新の7.1系列へ上げます。[1][4]