WordPress 本体に悪用中の欠陥（CVE-2026-119977）— 更新している「すき間」を狙われる。1日1万件超の攻撃。すぐ 7.1.4 へ

ひとことで言うと

会社のホームページによく使われる WordPress 本体に、自分自身を更新しているほんの短いあいだだけ、外からプログラムを動かされる欠陥（CVE-2026-119977）がありました。
11月3日、米 CISA が「実際に悪用されている」と認定しました。セキュリティ会社 Wordfence は、1日に1万件を超える攻撃を防いだと報告しています。
修正版は10月28日に出ています（7.1.4、古い系統にも 4.7.39 まで修正版あり）。
自動更新がオンなら、多くはもう直っているはずです。念のためバージョンを確かめ、手動で更新するなら先に作業用のフォルダを外から見えなくしてから更新してください。

この記事は 11月4日時点の情報です。

何が原因か

WordPress は、新しい版が出ると自分で自分を更新します。このとき、新しいファイル一式をいったん wp-content/upgrade/ という作業用のフォルダに広げてから、本番の場所に入れ替えます。

問題は次の3つが重なったことでした。

作業用のフォルダの場所や名前が予想できた
そのフォルダが、ふつうの Web ページと同じように外から開けた
広げたファイルの中に、最初の設定をするためのプログラム（setup-config.php）が含まれていた

更新が終わって片付けられるまでのわずかなすき間に、攻撃者がこのプログラムを外から呼び出すと、サイトの設定を無視して動き、最後にはサーバーで好きなプログラムを動かせてしまいます。

項目	内容
対象	WordPress 本体（4.7 以降の各系統）
種類	「確認」と「使用」のあいだのすき間を突く欠陥（競合状態）
攻撃の条件	ログイン不要。ただし、サイトが本体を更新している最中であること
深刻度	Wordfence の評価で CVSS 8.1。WordPress 自身は「低」と評価
見つけた人	Picus Security の研究者

WordPress は「低」、Wordfence は「高」

WordPress の開発チームは「更新中の短いあいだしか狙えない」として、深刻度を「低」としていました。一方、Wordfence は 8.1（高）と評価し、米 CISA は実際の攻撃を確認して「悪用中」のリストに入れました。評価が低くても、実際に狙われている——ここが大事なところです。

何が起きたか

10月28日：WordPress が修正版 7.1.4 を公開。Wordfence が防御のルールを入れると、9分後には最初の攻撃が届く
10月29日：欠陥の内容が公表される
10月30日〜：攻撃が本格化。最初の21時間で1万8,500件を超える試み
11月3日：米 CISA が「悪用中（KEV）」に追加。米国の政府機関に3日以内の対応を命じる
11月4日：Wordfence は「直近24時間で1万3,000件以上の攻撃を防いだ」と報告

ほとんどは防がれた「試み」で、実際に乗っ取られたサイトの報告はまだありません。ただ、攻撃者はサイトが更新するタイミングを狙って、何度も繰り返し試しています。

更新のあいだだけって、数秒くらいですよね？　そんなの狙えるんですか？

狙える！　数を打てばいいんだ！

攻撃者は、世界中の WordPress に、休みなく同じ通信を送り続けている。どこかのサイトがちょうど更新した瞬間に当たれば成功だ。

しかも皮肉なことに、修正版への更新そのものが、古い（穴のある）仕組みで行われる。だから「更新する前に、作業用のフォルダをふさいでおけ」と言われているんだ！

どんな問題があるか

ホームページを乗っ取られる：サーバーで好きなプログラムを動かされると、ページの書き換え、ウイルスの設置、別のサイトへの誘導などをされます
問い合わせや会員の情報が漏れる：WordPress のデータベースに入っている情報が持ち出されるおそれがあります
セキュリティ用のプラグインをすり抜ける：この攻撃は WordPress を通らずに直接プログラムを呼ぶため、WordPress の中で動く守りの仕組みでは気づけないことがあります
古い WordPress は直らない：4.6 以前には修正版がありません

臨時の対処（すぐ更新できないとき・更新の前に）

作業用のフォルダ（wp-content/upgrade/）を外から開けないようにする
Web サーバーの設定、またはサイトのいちばん上の .htaccess で、このフォルダへのアクセスを禁止します。フォルダの中に置いた設定では効かないことがあるので注意してください。
フォルダの中身の一覧が見えないようにする
WAF（Web アプリの防火壁）で防ぐ
レンタルサーバーやクラウドの WAF、Wordfence などの有料版のルールで、この攻撃を止められます（Wordfence の無料版にルールが届くのは11月27日の予定）。

設定の例（Apache の .htaccess）

サイトのいちばん上の .htaccess に、次のような1行を加えると、作業用のフォルダへの外からのアクセスを断れます（Apache 2.4 で mod_rewrite が有効な場合の例。サーバーの種類によって書き方が変わるので、制作会社やサーバー会社に確認してください）。

RewriteRule ^wp-content/upgrade/ - [F,L]

nginx を使っている場合は、サーバーの設定で location ^~ /wp-content/upgrade/ { deny all; } のように禁止します。

自社のサイトが対象か確かめるには

管理画面で確かめる：WordPress にログインし、「ダッシュボード → 更新」を開くと、今のバージョンが表示されます
自動更新の設定を見る：同じ画面で「WordPress の新しいバージョンすべてについて自動更新を有効化」になっているか確かめます。オフなら、更新が止まっている可能性があります
レンタルサーバーの場合：多くのレンタルサーバー会社が、WordPress の自動更新や WAF を用意しています。サーバー会社のお知らせに、今回の欠陥への対応が出ていないかも確かめましょう

正しい対処

修正版に更新する

使っている系統	この版以降に
7.1	7.1.4
7.0	7.0.8
6.9	6.9.11
6.8	6.8.12
6.7〜6.0	6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 / 6.3.14 / 6.2.15 / 6.1.16 / 6.0.18
5.x・4.7〜4.9	各系統の最新版（例：5.9.20、4.9.35、4.7.39）
4.6 以前	修正なし。新しい版へ移行を

自動更新がオンになっているか確かめる
自動更新がオンなら、多くのサイトはすでに直っています。管理画面の「ダッシュボード → 更新」で、今のバージョンを確かめましょう。
更新のあとに、入られていないか点検する
アクセスの記録に wp-content/upgrade/ の中のプログラムへのアクセスがないか。知らない管理者アカウント、見覚えのないプラグインや PHP のファイルがないかを確認します。
4.6 以前のサイトは、作り直しや移行を計画する

ホームページの管理は制作会社にお任せです。どう伝えれば？

これを送れ！

「WordPress 本体の脆弱性 CVE-2026-119977（米 CISA が11月3日に悪用を認定）について確認させてください。弊社サイトの WordPress のバージョンと、修正版（7.1.4 など各系統の修正版）への更新が済んでいるかを教えてください。まだの場合は、更新の前に wp-content/upgrade/ を外から開けないようにする対策をお願いします。あわせて、不審な管理者アカウントやファイルがないかの点検もお願いします。」

「自動更新にしているから大丈夫です」と言われたら、実際のバージョンの数字までもらえ！　設定と実際がずれていることは、よくあるからな！

まとめ

原因は、更新中の作業用のフォルダが外から開けて、場所も予想できたこと
米 CISA が悪用を認定。1日1万件を超える攻撃が、更新の「すき間」を狙っている
つなぎは wp-content/upgrade/ を外から見えなくする・WAF、正しい対処は 7.1.4 など各系統の修正版への更新
更新の前にフォルダをふさぐ。更新のあとは、知らないアカウントやファイルがないか点検を

出典

← セキュリティニュースの一覧へ