WordPress本体の更新処理にある脆弱性「CVE-2026-119977」について、実際の悪用が確認されています。米国CISAは2026年11月3日、悪用の証拠に基づき、この脆弱性を「Known Exploited Vulnerabilities（KEV）」の一覧に追加しました。CISAの公式配信
修正版のWordPress 7.1.4は10月28日に公開済みです。自社サイトでWordPressを使っている場合は、自動更新を有効にしているかだけでなく、修正版への更新が実際に完了しているかを確認してください。WordPress公式発表
今回の特徴は、攻撃が成立し得るのが本体の更新中だという点です。更新を避けるのではなく、保守担当者と更新時の保護を確認し、速やかに修正版へ移す必要があります。
どのような条件で問題が起きる？
対象はWordPress本体です。プラグイン固有の問題や、PHP本体の「PHP2Shell」とは別件です。
本体のファイル一式を使って更新するとき、WordPressは新しいファイルを一時的な場所に展開します。未修正版ではその場所が予測しやすく、外部からアクセスできる環境では、ログインしていない攻撃者が更新の短い時間を狙って不正なプログラムを動かせるおそれがあります。Wordfenceの技術解説
成立には、一時的なファイルへWeb経由で到達できることなどに加え、更新中の短い時間に攻撃を完了する必要があります。WordPressを使っているだけで、常に同じ攻撃が成立するわけではありません。 一方で、攻撃が難しいことを理由に修正を見送れる状況でもありません。
画像は、更新作業中の保護を表した概念イラストです。実際の管理画面や攻撃経路を再現したものではありません。
攻撃の試行と、被害の件数を分けて読む
Wordfenceは11月5日の報告で、公開当日の10月28日から攻撃の試行を観測し、累計24万件超を遮断したとしています。同社は、これらの多くが更新中のサイトを探す自動的な試行とみられると説明しています。Wordfenceの観測報告
この数字は侵入されたサイト数ではありません。CISAによる悪用確認と、Wordfenceによる試行の観測は、自社サイトの被害を直接示すものではなく、早急に修正状況を点検する根拠として受け止める必要があります。
修正版は7.1.4。旧系列にも対応版がある
CVE-2026-119977は、未修正のWordPress 4.7系から7.1系が対象です。7.1系では7.1.3までが影響を受け、7.1.4で修正されています。旧系列にも修正を移植した版があり、代表例は次のとおりです。
- 7.1系：7.1.4
- 7.0系：7.0.8
- 6.9系：6.9.11
- 6.8系：6.8.12
これより古い系列にも対応版があります。「7.1.4より番号が小さい」だけでは未修正と断定せず、自社の系列と対応する修正版を照合してください。Wordfenceの対象・修正版一覧
ただし、旧系列への修正提供が、長期的な保守の保証になるわけではありません。WordPress公式は最新の版のみを積極的なサポート対象としており、11月7日の公式配布一覧では7.1.4が最新の安定版です。古い系列のサイトは、今回の修正と今後の移行計画を分けて相談しましょう。WordPress公式の配布一覧
7.1.4には今回の更新処理の問題だけでなく、不正なスクリプトが保存される問題など、ほかのセキュリティ修正も含まれます。更新中の攻撃だけを防いで対応完了とはせず、本体の更新まで進めることが重要です。WordPress公式発表
更新前に、保守会社へ確認したいこと
修正版へ移る最初の更新も、現在インストールされている未修正版の更新処理を使います。Wordfenceは追加の保護として、更新用の一時領域「/wp-content/upgrade/」内のPHPファイルへの外部アクセスを、更新前にWebサーバー側で遮断する方法を案内しています。Wordfenceの更新時の注意
設定方法はサーバーによって異なります。非技術職の担当者が不明な設定を本番へ貼り付けるのではなく、制作会社・保守会社・サーバー管理者に次の点をまとめて確認してください。
- 対象サイトと現在の版。 本サイトに加え、古いキャンペーンサイトや公開された検証用サイトにもWordPressが残っていないか。
- 更新先と担当者。 今回のCVEを修正する版へ、誰がいつ更新するか。
- 更新中の保護。 一時領域へのアクセス制限などを適用できるか。設定が実際に効くかも担当者に確認してもらう。
- バックアップと復旧方法。 ファイルとデータベースを戻せるか。テーマ・プラグインの互換性をどう確認するか。
- 作業後の確認範囲。 表示だけでなく、問い合わせ、ログイン、注文・予約など事業に必要な機能を誰が点検するか。
バックアップ、互換性の確認、更新後の動作確認は、WordPress公式も案内しています。更新中には一時的にメンテナンス表示になることがあるため、業務への影響も担当者と共有しましょう。WordPress公式の更新ガイド
アクセス制限の相談を理由に更新を長く止めないことも大切です。保守担当者が状況を判断し、実施できる保護と修正版への移行を速やかに進めてください。
セキュリティプラグインがあっても、適用状況を確かめる
Wordfenceを使っている場合にも、導入済みというだけでは判断できません。同社の案内では、今回の専用ルールは有料版向けに10月28日に提供され、無料版向けは11月27日に提供予定です。また、PHPファイルへの直接のアクセスを保護するため、ファイアウォールの「Extended Protection」が重要だとしています。Wordfenceの提供条件
これはWordfenceの該当ルールについての説明で、すべての防御機能や他社製品を評価したものではありません。WAFなどを利用している場合も、製品名だけで安心せず、今回の攻撃への対応、適用日、設定を確認しましょう。いずれも本体更新の代わりにはなりません。
更新後は、不審な変更も点検する
修正版への更新と、過去に侵入されていないかの確認は別です。Wordfenceは、一時領域への不審なアクセスや残存ファイル、見覚えのないプラグイン・利用者などの点検を勧めています。該当するログがないだけで、侵害がなかったとは断定できません。Wordfenceの点検項目
自社で確認しにくい場合は、保守担当者に「適用した版と日時」「動作確認の結果」「不審な変更の点検結果」「残っている課題」を報告してもらうと、対応を管理しやすくなります。不審なファイルなどが見つかったら、削除を急ぐ前にログや証拠の保全を相談してください。
なお、WordPress本体、プラグイン・テーマ、PHPは、それぞれ更新の対象が異なります。PHPの修正を済ませていても今回のWordPress本体の対応が済んだとは限らず、その逆も同様です。役割と担当の整理には、「WordPressとPHPの更新は別。サイト運営者が確認したい役割と進め方」も参考にしてください。
情報確認日：2026年11月7日。作業時にはWordPress公式、保守会社、利用しているセキュリティ製品の最新案内を確認してください。