WordPress本体の更新処理に脆弱性、悪用を確認

やること

WordPress は Web サイトを作るための代表的なソフトです。本体が次の修正版以降になっているかを確かめてください。

• 7.1系は 7.1.4、7.0系は 7.0.8、6.9系は 6.9.11 です
• さらに古い系統にも、4.7系の 4.7.39 まで修正版が出ています
• 4.6 以前にはセキュリティ更新が出ません。新しいバージョンへ移ってください

何が危ないのか

WordPress は10月28日にセキュリティ更新の 7.1.4 を公開しました。資料によると、7.0系と 6.9系は修正された22件すべての影響を受けます。

この中で悪用が確認されたのが CVE-2026-119977 です。本体を完全なパッケージで更新する間、新しいファイルが Web からアクセスできる予測しやすい場所に置かれます。攻撃者がこの短い間に割り込むと、ログインなしでサーバー上のコードを実行できるおそれがあります。

CVE を割り当てた Wordfence の評価では、CVSS は v3.1 で 8.1 です。WordPress 自身の勧告は深刻度を「低」としています。攻撃者は更新のごく短い間に割り込む必要があります。

米国の CISA は11月3日に、悪用が確認された脆弱性の一覧に載せました。Wordfence の観測を伝える SecurityWeek の記事によると、攻撃の試みは修正の公開から数時間で始まり、防御ルールの配信から21時間で1万8,500件を超える要求が記録されています。その記事の時点で、侵入に成功した例は報告されていません。

対象

対象は 4.7 から 7.1.3 までの、各系統の修正版より前のバージョンです。修正の詳しい内容は WordPress の資料で確かめられます。