WordPress、更新の最中にコードを実行される脆弱性を修正　悪用を確認、7.1.4へ

WordPressの開発チームは10月28日（米国時間）、セキュリティ修正版「WordPress 7.1.4」の公開を発表し、本体を更新している最中に外部からコードを実行され得る弱点などを直した。この脆弱性「CVE-2026-119977」について、米CISAは11月3日、悪用を確認した脆弱性の一覧に加えた。当たるのは4.7から7.1.3までで、管理するサイトの版を確かめ、各系統の修正版に上がっていなければすぐ更新する必要がある。

4.7から7.1.3までが当たる

米国立標準技術研究所（NIST）の脆弱性データベース（NVD）の記録は10月31日に公開された。記録によると、影響と修正版は次のとおりだ。

• 対象: WordPress Coreの4.7から7.1.3まで
• 中身: 本体を丸ごと更新する時の一時的な置き場の場所が推測でき、Webから届く。そのため、更新の最中に、認証の無い攻撃者がサーバーの上でコードを実行し得る
• CVE番号: CVE-2026-119977
• 深刻度: CVSS 3.1で8.1（Wordfenceの評価、NVDの記録に載る値）
• 弱点の種類: CWE-367（確認した時点と使う時点の間の競合）
• NVDの記録が修正版とする版（系統ごと）: 7.1.4、7.0.8、6.9.11、6.8.12、6.7.11、6.6.11、6.5.14、6.4.14、6.3.14、6.2.15、6.1.16、6.0.18、5.9.20、5.8.19、5.7.21、5.6.23、5.5.24、5.4.25、5.3.27、5.2.30、5.1.28、5.0.31、4.9.35、4.8.34、4.7.39

WordPressの発表は、この弱点を「更新の手順の弱点で、更新の間にリモートでのコード実行につながり得る」と説明する。同じ版では、ほかに保存型のクロスサイトスクリプティング（XSS）など11項目の修正も入った。発表にCVE番号は載っておらず、番号はNVDの記録で対応を取った。

まず今の版を確かめる

版は、管理画面の「ダッシュボード」から「更新」を開くと確かめられる。サーバーにコマンドで入れる人は、WordPressを操作するコマンドの道具「WP-CLI」を入れていれば、公式の文書で「WordPressの版を表示する」と説明されたコマンドの「wp core version」で確かめられる。

表示された版が、上の一覧のうち同じ系統の修正版より古ければ当たる。たとえば7.1系なら7.1.4、6.8系なら6.8.12より前だ。ただし古い系統の修正版は順に出るので、自分の系統の版がもう配布されたかを確かめる。

WordPressは、保守とセキュリティの小さな版（マイナー版）を既定で自動更新する。ただし自動更新の設定の文書にあるとおり、設定ファイルで「AUTOMATIC_UPDATER_DISABLED」をtrueにするか、「WP_AUTO_UPDATE_CORE」をfalseにすると自動更新は止まる。プラグインなどがfilterで止めることもある。自動更新を止めたサイトは、自動では直らない。

各系統の修正版へ上げる

WordPressの発表は、セキュリティの版なので、すぐにサイトを更新するよう勧めている。管理画面の「更新」で「今すぐ更新」を押すか、WordPress.orgから7.1.4を取得する。自動の更新に対応したサイトでは、更新が自動で始まる。

古い系統について、発表は、修正をセキュリティの修正を受けられる全ての系統（今は4.7まで）に移すと書く。ただし移植は作業中で、できた系統から順に出すという。また、積極的に保守しているのは最新の版だけだと念を押している。

回避策は、WordPressの発表には載っていない。CISAは、提供元の指示に沿って対策を取り、対策が無ければ製品の使用をやめるよう、自らの指令（BOD 26-04）に沿って求めている。

CISAが悪用を確認した

CISAの悪用を確認した脆弱性の一覧（KEV）は、11月3日にこの脆弱性を加えた。対応の期限は11月6日だった。KEVは、侵害の有無を調べる手順（Forensics Triage Requirements）にも従うよう求めている。ランサムウェアの攻撃に使われたかどうかは「不明」としている。NVDの記録にあるCISAの評価でも、悪用は「active（確認済み）」だ。同じ評価は、攻撃を自動化しにくい（automatable: no）とする一方、影響の大きさを「total（全面的）」とした。KEVの説明は、この弱点を確認と使用の間の競合（TOCTOU）と呼ぶ。

一方、攻撃の規模や狙われたサイトの種類は、公表元の資料では確認できていない。WordPressの発表も、悪用には触れていない。

SAGUSでは当たらなかった

SAGUSは、開発に使う2台の端末と本番のサイトについて、WordPressを使っていないかを確かめた。端末では、「wp」と「php」のコマンドが無いこと、ローカルでWordPressを動かすアプリが無いこと、DockerのイメージにWordPressが無いこと、開発の作業場所にWordPressのファイルが無いことを見た。本番のサイトは、どれもWordPressではない仕組みで作っており、当たらなかった。

編集部の見方

編集部は、WordPressのサイトを預かる人は、自動更新に任せず、今日中に版を目で確かめるべきだと考える。悪用が確認されたうえ、自動更新は設定やプラグインで止められ、古い系統の修正は順に出るからだ。修正版に上がっていても、上がる前に侵入された可能性は残る。CISAが侵害の調査も求めているとおり、更新の後に侵入の跡が無いかも調べたい。