WordPress更新処理の欠陥、攻撃の試み24万件超を遮断

やること

WordPress 本体の更新処理の欠陥について、攻撃の試みの規模が公表されました。本体がまだ修正版になっていないサイトは、次の順で進めてください。

• 更新の前に、できれば Web サーバーの設定で /wp-content/upgrade/ の下の PHP ファイルへのアクセスを止めてください
• 7.1.4、7.0.8、6.9.11 など、使っている系統の修正版に更新してください
• 更新のあとに、アクセスログとファイルを調べてください

1つ目が必要なのは、修正版へ上げる1回の更新が、まだ古い更新処理で動くからです。ただ、その危ない時間は更新の間だけで、修正版になればこの欠陥の影響はなくなります。Wordfence は、それでも更新は先送りしないよう勧めています。

何が起きたのか

Wordfence は11月5日に、CVE-2026-119977 を狙う試みを24万件超遮断したと公表しました。Wordfence は WordPress 向けの防御プラグインの開発元です。

試みは欠陥が公表された10月28日に始まり、この日はごく少数でした。多かったのは10月29日から11月1日で、最多は10月30日の7万4,000件超です。

攻撃者は更新の間だけ置かれるファイルの場所に、インストール用の setup-config.php を要求します。その時に更新が動いていれば、インストールを最後まで進めて管理者を作り、不正な PHP のコードを上げられるおそれがあります。

ただし、この数は侵入の数ではありません。Wordfence は、大半が自動の試みで、更新がちょうど動いている時に当たることを狙ったものとみています。要求が更新の間に届き、ファイルが消される前に攻撃を終える必要があるので、実際に成功させるのは難しいとも説明しています。研究環境では、この場所は普通は数秒しか残りませんでした。

CISA は11月3日に悪用確認の一覧（KEV）へ載せ、米国の政府機関の期限を11月6日としました。Wordfence の記事は掲載日を11月2日としていますが、CISA の一覧では11月3日です。

深刻度の違い

10月28日の記事に書いたとおり、WordPress 自身の勧告はこの欠陥の深刻度を「低」としています。一方、CVE の記録の CVSS は 8.1（High）です。この点数は Wordfence が付けました。成功すればサーバーの上でコードを実行されるので影響は大きいものの、攻撃の難しさは「高」と評価されています。

調べ方

Wordfence はアクセスログで /wp-content/upgrade/ の下の PHP ファイルへの要求、とくに setup-config.php を探すよう勧めています。正常な更新で外部からこれらのファイルが要求されることはありません。記事には要求の多い10個の IP アドレスも載っています。

要求の記録があるだけなら、試みがあったということで、侵入されたとは限りません。あわせて /wp-content/upgrade/ に残ったファイルやフォルダー、インストール済みのプラグイン、利用者の一覧を見てください。覚えのないファイル、プラグイン、管理者があれば削除し、裏口が残っていないかも調べるよう案内されています。記録が見つからなくても、侵入がなかったとは言い切れません。

対象

WordPress 4.7 から 7.1.3 までです。修正版は 7.1.4、7.0.8、6.9.11、6.8.12 のほか、4.7.39 まで各系統に出ています。4.6 以前には修正版が出ていません。

Wordfence を使っているサイトでも、無料版に防御ルールが届くのは11月27日です。setup-config.php のようなファイルは WordPress を読み込まずに動くので、ファイアウォールを Extended Protection で動かしていないと要求を止められません。

中小企業が確かめること

自動更新が有効なサイトは修正版になっているはずですが、Wordfence は実際に確かめるよう勧めています。保守を委託している場合は、更新が済んだ日付と、上のログを調べたかどうかを聞いてください。