WordPress Core の脆弱性（CVE-2026-119977）

何が起きた

Web サイトを作るためのソフトウェア WordPress の本体に、更新の処理の弱点が見つかり、アメリカの CISA が実際に悪用されていることを確認しています。CVE の記録によると、本体をまるごと更新するときに使う一時的な置き場所（ステージングのパス）が、名前を予想できて、Web からも届く場所になっています。そのため、ログインしていない攻撃者が、更新の最中に、サーバーでプログラムを実行できるおそれがあります。原因の種類は TOCTOU（確かめた時と使う時のずれを突かれる問題）です。WordPress の公式のお知らせも、更新の処理の弱点で、更新の最中に遠くからプログラムを実行されるおそれがあるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

WordPress を使っているサイトが対象です。CVE の記録によると、影響を受けるのは WordPress 4.7 から 7.1.3 までの版です。WordPress によると、いま積極的にサポートされているのは最新の版だけで、古い系列の修正版は、あくまで厚意として出されています。

何をすればいい

WordPress の公式の案内を確認し、WordPress 7.1.4 に更新してください。WordPress は、安全のための更新なので、すぐに更新するよう勧めています。管理画面の「更新」から更新でき、自動更新に対応したサイトでは自動で始まります。古い系列にも修正版があり、たとえば 7.0 系列は 7.0.8、6.9 系列は 6.9.11、4.7 系列は 4.7.39 です。ほかの系列の番号は、WordPress の 7.1.4 の説明ページに載っています。なお、CISA はアメリカの連邦政府機関に向けて、BOD 26-04 という指示の「Forensics Triage Requirements」（侵入された跡がないかを調べるための要件）に沿うことも求めており、この弱点はその対象とされています。

やることチェックリスト

• 使っている WordPress の版を確かめる
• WordPress 7.1.4 に更新する
• 古い系列なら、その系列の修正版以降にする

用語メモ

TOCTOU

「確かめた時」と「実際に使う時」の間のわずかなすきまを突かれる問題です。確かめたあとに中身をすり替えられることがあります。

ステージング

本番に反映する前に、ファイルなどを一時的に置いて準備することです。

Forensics Triage Requirements

CISA がアメリカの連邦政府機関向けに示している、侵入された跡がないかを調べるための要件です。