WordPress 7.1.4 がリリース：ソフトウェアの更新中に生じる脆弱性 CVE-2026-119977 に対応

WordPress RCE Vulnerability Under Active Attack With Over 58,000 Exploit Attempts Blocked

2026/10/31 gbhackers — WordPress Core に存在する未認証のリモート・コード実行の脆弱性を悪用する攻撃者が、ソフトウェアの更新中に生じる短時間の機会を狙っている。提供された Wordfence の記録によると、24時間以内に 58,693件の攻撃がブロックされた。ただし、この約 6万件の攻撃試行は、実際に侵害が成功した件数ではない。2026年10月28日に WordPress は、22件のセキュリティ脆弱性を修正するバージョン 7.1.4 を公開した。今回のアップグレードで修正された脆弱性は、攻撃の成立に複数の環境条件とタイミング条件が必要となるが、認証やユーザー操作を必要としない点で深刻である。

WordPress のリモート・コード実行の脆弱性

脆弱性 CVE-2026-119977 (CVSS 8.1) は、WordPress のバージョン 4.7 〜 7.1.3 に影響する。攻撃の複雑さが高いと評価されているのは、悪用できるタイミングが厳しく制限されるためであり、攻撃が成功した場合の影響が、必ずしも限定的であることを意味するわけではない。

WordPress Core のフルパッケージによるアップグレード中に、脆弱な環境ではファイルが “wp-content/upgrade” 配下の予測可能なディレクトリに展開される。これらの一時ディレクトリにはインストーラの構成ファイルが含まれており、更新処理の進行中においても、Web サイト経由でアクセスできる状態になる場合がある。

この脆弱性を悪用する未認証の攻撃者は、一時的に配置された “setup-config.php” が削除される前にアクセスすることで、仮配置されたインストール環境を操作し、PHP コードを実行する可能性がある。

攻撃の成立には、インストーラのファイルが存在すること、仮配置先のパスに外部からアクセスできること、そのディレクトリ階層内で PHP を実行できること、攻撃を完了するための十分な時間が確保されることが必要となる。

実験環境での観測によると、この攻撃可能な時間は数秒程度に限られるとみられる。攻撃者は、繰り返しポーリングを行うことでこの制約に対処し、更新処理によりインストーラのパスが公開される瞬間を狙ってアクセスを試みている。

Wordfence の報告によると、ファイアウォール・ルールの導入から 9分後に最初の検出があり、最初の 21時間において、一時配置されたインストーラのパスを標的とする 18,500件以上のリクエストが確認された。また、主要な 2つの攻撃元が、少数の Web サイト群に対して約 14.5時間にわたりポーリングを繰り返していたと報告されている。

報告された修正内容に含まれるのは、一時配置先ディレクトリのランダム化／インデックスファイルによるアクセス防止措置の追加／仮配置された設定データが安全ではない方法で正式な設定に反映されることの防止などである。セキュリティ修正は、影響を受ける旧系列にもバックポートされているが、WordPress は最新バージョンのみを積極的なサポート対象としている。

Wordfence は、Premium／Care／Response の利用者に対して、10月28日20時30分 (UTC) にファイアウォールルールを導入した。無料版の利用者には、通常の 30日間の提供遅延に従い、11月27日に同ルールが提供される予定である。

この攻撃リクエストは、WordPress 本体を読み込むことなく、一時配置された PHP ファイルへ直接アクセスできるため、Extended Protection が重要となる。したがって、管理者はファイアウォール・ルールが提供されたという事実だけで防御が有効になっていると判断せず、ファイアウォールの最適化設定を確認する必要がある。ファイアウォールによる通信の検査は、修正パッチの適用に代わるものではない。

サイト運営者は、WordPress の「ダッシュボード」→「更新」を確認し、WordPress 7.1.4 または使用中の系列に対応する修正版をインストールする必要がある。また、”wp-content/upgrade” 配下への予期しないアクセスがないかログを調査し、見覚えのない管理者アカウント／許可されていないプラグイン／不審な PHP ファイルについても確認することが推奨される。

今回のアップデートにより、脆弱な動作は解消され、スキャンやファイアウォールによる防御は、修正対応を補完する役割を果たす。ただし、アップデートが正常に完了したことや、攻撃がブロックされたという統計だけでは、過去に攻撃対象となったサーバが侵害を免れたとは断定できない。不審な兆候が確認された場合は、引き続き調査とインシデント対応が必要である。

この記事は、Web サイト構築プラットフォームである WordPress Core の更新処理中に生じるセキュリティ領域の不備と、それを狙った攻撃動向について解説するものです。本体のアップグレード時に生成される一時ディレクトリへの外部アクセス制限不足が背景に存在します。影響として、未認証の第三者による設定環境の操作／任意のコード実行が生じる恐れがあります。対応策として、最新の修正済みバージョンへの更新／一時ディレクトリへのアクセスログ調査／不審なアカウントや構成ファイルの有無の確認が求められます。