WordPress本体の更新中を狙うRCE脆弱性、CISAが悪用を確認

何が発表されたか

米CISA は2026年11月3日、WordPress 本体の脆弱性 CVE-2026-119977 を「悪用が確認された脆弱性カタログ（KEV）」に追加した。The Hacker News が11月4日に報じた内容によると、概要は次のとおり。

• 深刻度: CVSS 8.1（High）
• 種別: TOCTOU（time-of-check time-of-use）の競合状態（CWE-367）
• 原因: フルパッケージでの本体更新時に使われる、予測可能かつ Web からアクセスできる一時パス
• 影響: 更新処理が走っている短い時間帯を突かれると、未認証の攻撃者がサーバー上でコードを実行しうる

実際の攻撃も観測されている。Wordfence は公開から21時間のあいだに、一時配置されたインストーラのパス（setup-config.php）を狙うリクエストを18,500件以上確認したと報告。Previdian は2026年10月30日に英国に割り当てられたIPから3件の試行を記録している。本体のパッチは10月下旬に公開されている。

米連邦政府の行政機関（FCEB）に対する是正期限は2026年11月6日に設定されている。民間企業に法的な期限はないが、KEV 入りは「すでに攻撃されている」という意味であり、対応の優先度は高い。

取るべき対応

WordPress で制作・運用を請け負っている場合、次の順で確認したい。

• 本体を最新のパッチ適用版に更新する：記事は具体的なバージョン番号を挙げていないため、WordPress 公式のセキュリティアドバイザリで対象範囲を確認してから作業する。
• 10月下旬以降に本体更新を実行したサイトを洗い出す：更新処理中が狙われる性質のため、更新作業のタイミングと攻撃の観測時期が重なっていないかを見る。
• アクセスログを確認する：サイト直下の一時的なインストーラ用パスへのリクエストが残っていないかを点検する。
• 更新作業そのものの運び方を見直す：複数サイトを順番に手作業で更新している体制だと、1サイトあたりの露出時間が長くなる。管理台数が多い制作会社・フリーランスは、更新の自動化や実行時間帯の見直しを検討する価値がある。

受託先のサイトを含めて管理台数が多いほど、未更新のサイトが1つ残るリスクは上がる。棚卸しを兼ねて一度リストを突き合わせておきたい。