CISA flags WordPress RCE flaw as actively exploited in attacks
2026/11/04 BleepingComputer — 米国の CISA は、先日修正された WordPress の高深刻度の脆弱性について、攻撃者による実環境での悪用が確認されたとして、米連邦政府機関に警告を発した。この WordPress Core の脆弱性 CVE-2026-119977 は、Time-of-check Time-of-use (TOCTOU) 競合状態に起因するものであり、Picus Security のセキュリティ研究者 Umut Bayram により報告された。
この脆弱性を悪用するリモート攻撃者は、権限を持たない場合であっても、サーバ上でコードを実行する可能性があるが、攻撃の難易度は高い。WordPress Core のパッケージ全体をアップグレードする際に使用される、一時配置先のパスが予測可能であり、Web 経由でアクセスできることに、この欠陥は起因する。
WordPress セキュリティチームは、この問題を修正した WordPress 7.1.4 を、10月28日にリリースした。同チームは、「WordPress のアップグレード処理に存在する弱点であり、アップグレード中にリモートコード実行につながる可能性がある。重要なセキュリティ・リリースであるため、サイトを直ちに更新することを推奨する」と述べている。
11月3日 (火) に CISA は、CVE-2026-119977 の実環境での悪用を確認し、この脆弱性を Known Exploited Vulnerabilities (KEV) Catalog に追加した。さらに、拘束力のある運用指令 (BOD) 26-04 に基づき、連邦文民行政機関 (FCEB) に対して、11月6日 (金) までにシステムの安全を確保するよう命じた。
CISA は、「この種の脆弱性は、サイバー攻撃者により頻繁に悪用される攻撃経路であり、連邦政府のシステム全体に重大なリスクをもたらす」と警告した。
BOD 26-04 の適用対象は、米連邦政府機関に限られるが、CISA は民間企業を含むすべてのネットワーク防御担当者に対して、この脆弱性を優先的に修正し、サーバを保護するよう求めている。
CVE-2026-119977 を悪用する攻撃者の活動について、CISA は詳細を明らかにしていない。その一方で、WordPress セキュリティ企業 Wordfence は、週末に更新したセキュリティ・アドバイザリで、「過去24時間に、この脆弱性を標的とする 13,095件の攻撃をブロックした」と報告している。
2026年7月には、WordPress セキュリティチームが、WordPress Core に存在する重大な脆弱性の連鎖 wp2shell を修正している。この脆弱性の連鎖は、REST API のバッチルート処理における混同の脆弱性 CVE-2026-63030 と、SQL インジェクションの脆弱性 CVE-2026-60137 を組み合わせるものであり、Web シェルの設置や未修正サーバの乗っ取りが可能になる。
この wp2shell に対する修正パッチが公開された翌日には、攻撃コードが一般公開された。その数日後には、攻撃者が未修正サーバへの侵入を開始し、永続的に利用できる Web シェルの設置や悪意のプラグインのインストールが行われた。
さらに9月には、中国語を使用する脅威アクターが wp2shell の脆弱性連鎖を攻撃に用い、中小企業や政府機関のバックエンド・データベースに保存されていた、18,500件を超えるレコードから機密データを窃取した。
この記事は、Web コンテンツ管理基盤である WordPress Core に存在する危険な不具合が CISA KEV カタログへ登録された件と、その対策について解説するものです。本体更新処理における一時退避場所の推測可能性や処理の競合状態が背景に存在します。影響として、権限のない第三者による任意コードの送信／サーバー上での不正なプログラム実行／システム全体の非合法な制御権取得が生じる恐れがあります。対応策として、セキュリティ修正が含まれる最新リリースへの即時手動更新／自動更新機能の稼働状況確認が求められます。 (対象 CVE：CVE-2026-119977)
You must be logged in to post a comment.