Ing. Calogero Bono
WordPress 7.1.4は10月28日にリリースされたセキュリティ更新で、コアのアップデート中にサーバー上でコードを実行されうる脆弱性の修正を含みます。米国のCISAは、この脆弱性CVE-2026-119977が実際に悪用されていることを確認し、KEVカタログに追加しました。サイトのアカウントがなくても攻撃できる点が重要です。WordPressサイトを運用しているなら、このアップデートは先送りできません。
用語の確認、事実に入る前に CVEは既知の脆弱性を識別するコードです。TOCTOU（time-of-check time-of-use）は、確認と利用の間に状態が変わってしまうレースコンディションの一種です。RCEはリモートからのコード実行を意味します。KEVは悪用が確認された脆弱性をまとめたCISAのカタログです。XSS storedは、サイトに保存され訪問者に提示される悪意あるスクリプトのことです。
CVE-2026-119977とはどのような脆弱性ですか？
WordPressの公式発表によれば、これは更新処理に存在する弱点で、アップグレード中の時間枠でリモートからのコード実行につながるおそれがあります。報告者はPicus SecurityのUmut Bayram氏です。
BleepingComputerによると、問題の原因は、コアの完全な更新中に推測可能でWebから到達可能なステージングパスが使われていたことです。The Hacker Newsによれば、CVSSスコアは8.1と深刻度は高く、攻撃の複雑さも高いとされています。
実際にどの程度悪用されていますか？
CISAはこの脆弱性をKEVカタログに追加し、民間の連邦機関に対して2026年11月6日までの修正を命じました。同機関は民間企業にもパッチの優先適用を呼びかけています。
数値はWordfenceによるもので、セキュリティ企業の発表である点に注意が必要です。BleepingComputerは24時間で13,095件の攻撃を遮断したと伝えています。The Hacker Newsは最初の21時間で「setup-config.php」パスへの18,500件以上のリクエストと、別の24時間で12,632件の遮断を挙げています。Previdianは10月30日に自社のハニーポットへ3回の試行を記録しました。
WordPress 7.1.4はほかに何を修正しますか？
このリリースはアップグレードだけが目的ではありません。公式の一覧には、コアのブロックと機能に存在する複数のXSS stored脆弱性が含まれています。
- Categoriesブロック、PlaylistブロックおよびImageブロック、コメントのページネーションブロック
- Interactivity API、複数のXSSとサービス拒否の一件
- Customizer、XSSの一件と、匿名ユーザーによる未公開のchangesetの発見
- 個人データ削除リクエストと、巧妙に作られたユーザー名
また、編集権限のない特権ユーザーによるノートの閲覧も修正され、eMudhraの失効に伴いルート証明書も更新されています。
なぜ2026年はWordPressコアにとって厳しい年なのですか？
BleepingComputerによると、7月にセキュリティチームは、REST APIのバッチルートの混同（CVE-2026-63030）とSQLインジェクション（CVE-2026-60137）からなるwp2shellチェーンを修正しました。公開されたエクスプロイトはパッチの翌日に登場しています。
9月には中国語話者の攻撃者がこのチェーンを使い、小規模企業や公共機関のデータベースから18,500件以上のレコードを盗み出しました。この事例は、パッチと攻撃の間の時間がいかに短いかを示しています。基本的な防御については、WordPressのセキュリティガイドで解説しています。
知っておくべき制限
攻撃の背後に誰がいるのか、侵害されたサイトが何件あるのかは分かっていません。CISAは悪用の詳細を公表しておらず、攻撃遮断のデータはWordfenceによるもので、情報源ごとに集計期間も異なります。4.7までの古いブランチ向けの修正は今も準備中で、用意でき次第公開される予定です。
デジタル業務に携わる人にとっての変化
自動更新がまだ始まっていなければ、ダッシュボードの「更新」からすぐに7.1.4へ更新してください。手順がない場合は、サイトを壊さずに更新する方法が良い出発点になります。多数のサイトをクライアント向けに管理している人は、普段見落としがちなサイトも必ず確認してください。セキュリティプラグインのガイドで比較されているようなファイアウォールも有効ですが、パッチの代わりにはなりません。
私たちの見解
厄介なのは、この脆弱性が本来の防御手段である仕組みそのものを突いている点です。更新は防御策ですが、更新作業の最中にリスクの窓が開きます。良い点はセキュリティチームの対応が迅速だったことです。悪い点は2026年のペースで、7月には攻撃チェーン、10月にはさらに別の脆弱性が悪用されました。更新を暇なときにやればよいと考える人は、数字に逆らう賭けをしていることになります。
よくある質問
WordPress 7.1.4では何が修正されますか？
更新処理におけるコード実行の脆弱性と、複数のXSS stored脆弱性が修正されます。サービス拒否（DoS）の一件と、ルート証明書の更新も含まれます。
CVE-2026-119977の攻撃にはアカウントが必要ですか？
いいえ。情報源が伝えるWordfenceによれば、アカウントは不要です。ただし攻撃者は、コアの完全な更新中に生じる短い時間枠を突く必要があります。
WordPress 7.2はいつリリースされますか？
12月8日の予定です。Beta 3はすでに公開されており、適用可能な修正を含んでいます。
古いバージョンにもパッチは提供されますか？
一部は提供されます。修正は4.7までの対象ブランチへバックポートされ、準備ができ次第公開されます。WordPressは、現在積極的にサポートされているのは最新版のみだと注意を促しています。
CISAの期限はイタリアの企業にも適用されますか？
いいえ、11月6日の期限は米国連邦政府機関にのみ適用されます。ただしCISAは民間部門にもパッチの優先適用を求めています。
今後数週間のWordPressで注目すべきこと
パッチは公開されていますが、注目は今後、古いブランチとBeta 7.2へ移っています。最もリスクが高いのは、エクスプロイトが出回っているのにサイトが未更新の期間です。
- 使用中の古いバージョン向けのバックポートが届いたか確認し、移行を計画してください。
- サーバーのログを確認し、setup-config.phpのようなインストール用パスへのリクエストを探してください。
- 12月8日予定の7.2リリースに向けて、Beta 3と7.2のリリースノートを確認してから本番環境を更新してください。
