WordPress Coreに緊急脆弱性、悪用確認で今すぐアップデートを

米CISA(サイバーセキュリティ・インフラセキュリティ庁)は2026年11月3日、WordPressのコアソフトウェアに存在する脆弱性「CVE-2026-119977」を、実際に悪用が確認された脆弱性の一覧「Known Exploited Vulnerabilities(KEV)カタログ」に追加した。この脆弱性は、コア本体をフルパッケージでアップグレードする際に生じる一時的な「アップグレード窓」の間、推測可能かつWeb経由でアクセス可能なステージング用パスが残ってしまうことが原因で、未認証の攻撃者がサーバー上でコードを実行できる可能性がある。WordPressは多数のWebサイトで採用されているCMSであり、企業サイトからブログ、ECサイトまで幅広い用途で使われているため、影響範囲は決して小さくない。WordPressでサイトを運用している管理者・ホスティング事業者は、自社サイトの対応状況を早急に確認する必要がある。

脆弱性の概要と影響を受ける製品

CISAのKEVカタログに記載された情報を以下の表にまとめる。

影響を受けるバージョンや修正バージョンの正確な範囲については、ベンダーの公式アナウンスおよびセキュリティ情報ベンダーWordfenceの脆弱性情報ページで案内されている。詳細な対象バージョンはベンダーのセキュリティアドバイザリを必ず確認してほしい。なお、本脆弱性はWordPress Core自体の不具合であり、特定のテーマやプラグインに起因するものではない点に注意が必要だ。そのため、普段からテーマ・プラグインの脆弱性管理を徹底している運用者であっても、コア本体のアップグレード処理そのものに潜むリスクとして見落としやすい。

深刻度と悪用状況

この脆弱性のCVSS 3.1スコアは8.1(深刻度:HIGH)と評価されている。ベクトル文字列はCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hであり、これは「ネットワーク経由でアクセス可能(AV:N)」「攻撃条件は複雑(AC:H)」「事前の認証は不要(PR:N)」「利用者の操作は不要(UI:N)」「機密性・完全性・可用性のすべてに重大な影響(C:H/I:H/A:H)」を意味する。つまり攻撃の実行には一定の条件やタイミングが必要だが、成功すれば未認証のままサーバーを完全に制御される恐れがある。AC:H(攻撃条件の複雑さが高い)という評価は、攻撃者が「アップグレード窓」という限られた時間帯を狙ってタイミングを合わせる必要があることを反映しているとみられ、単純な自動スキャンだけでは成立しにくい一方、標的を定めた攻撃者にとっては十分に実行可能なレベルといえる。

何より重要なのは、この脆弱性がCISAのKEVカタログに掲載されている点だ。KEVカタログは「実際に悪用が確認された脆弱性」のみを収録するリストであり、理論上のリスクではなく、既に攻撃に使われている、あるいは使われる可能性が極めて高いことを示す。米連邦機関には2026年11月6日までの対応が義務付けられており、民間のWordPress運用者もこれに準じた速度での対応が強く推奨される。

ベンダーはどんな修正を行ったか

CISAの説明によれば、本脆弱性は「フルパッケージでのコアアップグレード時に使われる、予測可能かつWebからアクセスできるステージング用パス」が原因とされている。TOCTOU(Time-of-check Time-of-use)とは、ある処理の「チェック(確認)」と実際の「使用」の間にタイムラグが存在し、その隙に外部から割り込まれることで想定外の挙動を引き起こす不具合の総称だ。今回のケースでは、アップグレード処理がファイルの配置先を確認してから実際に展開するまでの間、そのパスが外部から推測・アクセスされうる状態になっていたことがポイントになる。

ベンダーであるWordPressはこの問題に対する修正版をリリースしている。修正の具体的な内容(パスの非公開化・検証タイミングの変更など)やバージョン番号の詳細については、WordPress公式のアナウンスページおよびWordfenceの脆弱性情報ページで案内されている。正確な修正バージョンと変更点は、必ずベンダーのセキュリティアドバイザリで確認してほしい。

TOCTOU型の競合状態はなぜ厄介なのか

TOCTOU型の脆弱性は、Webアプリケーションのセキュリティ対策において見落とされがちな領域の一つだ。通常の入力検証やアクセス制御は「ある時点での状態」を前提に設計されるが、ファイルシステムへの書き込みや一時ディレクトリの生成のように、処理の途中で状態が変化する操作が絡むと、検証した内容と実際に使われる内容がずれてしまうことがある。今回のWordPress Coreの事例のように、アップグレード処理中だけ一時的に生成されるパスが外部から推測・アクセス可能であった場合、攻撃者はその短い時間帯を狙って不正なファイルを配置するなどの手口を取り得る。こうした競合状態は再現性が低く、通常の脆弱性診断やペネトレーションテストでも検出しにくいため、ベンダー側の設計レベルでの対策(パスのランダム化、処理のアトミック化、アクセス制御の強化など)が重要になる。

今すぐやるべき対策手順

• 手順1:バージョン確認 — 管理画面の「ダッシュボード」または「更新」ページで現在のWordPress Coreのバージョンを確認する。
• 手順2:アップデートの適用 — WordPress公式のアナウンスページで案内されている修正版が提供されていれば、速やかに適用する。自動更新を利用している場合も、更新が正常に完了しているか必ず確認する。
• 手順3:アップグレード時の回避策 — コアのフルパッケージアップグレードを実施する際は、作業中にサイトへの外部アクセスを一時的に制限する、WAF(Web Application Firewall)でステージング関連のパスへの不審なアクセスを遮断するなど、ベンダーの指示に沿った緩和策を検討する。アップグレード作業はできるだけアクセスの少ない時間帯に行い、作業前にはサイト全体のバックアップを取得しておくことも基本的だが重要な対策だ。
• 手順4:侵害有無の確認 — アクセスログやサーバーログを確認し、アップグレード作業中の時間帯に見慣れないパスへのリクエストや、不審なファイルの作成・変更がないかを点検する。異常が見つかった場合は、フォレンジック調査を含む対応を検討する。
• 手順5:運用体制の見直し — 複数サイトを運用している場合は、どのサイトがどのバージョンのWordPress Coreを使用しているかを一覧で管理し、アップデート状況を定期的に棚卸しする体制を整えておくと、今後同種の脆弱性が発見された際の対応が迅速になる。

自組織での対応方針を検討する際は、CISAが示す「BOD 26-04 Prioritizing Security Updates Based on Risk」のガイダンスおよび「Forensics Triage Requirements」も参考になる。

よくある質問

Q1. 自分のサイトは常時攻撃を受けているのか?
A1. KEVカタログに掲載されたことは「悪用が確認された」ことを意味するが、すべてのサイトが攻撃対象になっているとは限らない。ただしリスクが現実のものである以上、未対応のまま放置するのは避けるべきである。

Q2. まだアップデートできない場合はどうすればよいか?
A2. CISAのガイダンスでは、緩和策が利用できない場合は該当する製品・サービスの利用停止も検討するよう求めている。自組織でのインターネット公開状況を評価し、WAFでのアクセス制限などの緩和策を講じつつ、早期のアップデート適用を目指すべきである。

Q3. 「ステージング用パス」とは具体的に何を指すのか?
A3. WordPress Coreをフルパッケージでアップグレードする際、サーバー上に新しいファイル群を一時的に展開するための作業用ディレクトリが作られる。このディレクトリのパスが予測可能かつWeb経由でアクセスできる状態になっていたことが、本脆弱性の根本的な原因とされている。正確な実装の詳細はベンダーの修正内容と合わせて確認してほしい。

まとめ

CVE-2026-119977は、WordPress Coreのアップグレード処理に存在するTOCTOU型の競合状態による脆弱性であり、CVSSスコア8.1(HIGH)、かつCISAのKEVカタログに掲載済み、すなわち実際の悪用が確認されている。米連邦機関の対応期限は2026年11月6日と定められており、WordPressを運用するすべての管理者は、バージョン確認とアップデート適用を最優先で実施し、合わせてログの点検を行うことが強く求められる。日頃からアップデート状況を一覧管理し、アップグレード作業時のアクセス制限やバックアップ取得を習慣化しておくことが、今後同種の脆弱性に対する耐性を高める近道となる。

参考情報（一次情報）

• https://nvd.nist.gov/vuln/detail/CVE-2026-119977
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog