WordPress本体の欠陥は、更新の最中を狙われる――悪用が確認され、更新の前にや⁠る⁠こ⁠と

2026年10月28日、WordPress 7.1.4が公開されました。複数の問題を直したセキュリティリリースです（WordPress公式）。Wordfenceは、WordPressの数えかたでは、22件の脆弱性を含む、と書いています（Wordfenc⁠e⁠）⁠。

そのうち、もっとも重いのが、本体の更新処理の欠陥（CVE-2026-119977）です。アカウントを持たない人が、更新の最中に、サーバー上でコードを実行できます。11月3日には、米国のCISAが、悪用が確認された脆弱性の一覧（KEV）に加えました（CISAのデー⁠タ⁠）⁠。

ただし、「WordPressに、誰でも入れる欠陥」ではありません。狙えるのは、本体の更新が走っている、ごく短い間だけです。この記事は、その条件と、確認の方法、更新の前にやることを、一次情報で整理したものです。情報は、2026年11月7日の時点のもの⁠で⁠す⁠。

日本語で出回っている情報には、原文と異なる訳や要約が、かなり見受けられます。この記事は、一次情報を私たちも原文で確認して書いていますが、読者の皆さんも、各社の原文でのご確認をお勧めし⁠ま⁠す⁠。

要点

• 対象は、WordPress 4.7から7.1.3までの本体です。修正版は、7.1系が7.1.4、7.0系が7.0.8、6.9系が6.9.11で、4.7系の4.7.39まで、各系列に出ています（GitHubの公式の告⁠知⁠）⁠。
• 攻撃が成り立つのは、本体の更新が、完全なパッケージで行われている間だけです。Wordfenceの検証では、その間は、数秒でした（Wordfenc⁠e⁠）⁠。
• 攻撃の試みは、公開の当日から始まっています。Wordfenceは、24万件を超える試みを遮断した、と書いています。ただし、サイトが乗っ取られた件数では、ありません（Wordfenc⁠e⁠）⁠。
• 自動更新が有効なサイトは、すでに更新されているはずです。管理画面で、確認してくだ⁠さ⁠い⁠。
• まだなら、更新の前に、upgradeフォルダーへの外からのアクセスを止めます。更新そのものが、一度だけ、古い更新処理で動くため⁠で⁠す⁠。

見出しと、一⁠次⁠情⁠報

何が起き⁠る⁠の⁠か

本体を、完全なパッケージで更新するとき、新しいファイルは、いったん、サイトの中の、upgradeフォルダーの下に展開されます。その展開先が、予測できる名前で、しかも、外からアクセスできる場所でした（GitHubの告⁠知⁠）⁠。

発見者のUmut Bayram氏は、自社（Picus Security）のブログで、仕組みを次のように説明しています（Picu⁠s⁠）⁠。

1. 展開されたファイルの中には、WordPressの初期設定の画面（setup-config.php）が含⁠ま⁠れ⁠る
2. 展開先の初期設定の画面は、すぐ上にある、本物の設定ファイル（wp-config.php）を見つけられず、「まだ設定されていない」と判⁠断⁠す⁠る
3. 初期設定の画面は、認証なしで使えるため、攻撃者は、自分のデータベースを指定して、新しい設定ファイルを⁠作⁠れ⁠る
4. 更新が、展開されたファイルを、本物のサイトに上書きコピーするとき、その設定ファイルも、本物のwp-config.phpに、上書きさ⁠れ⁠う⁠る
5. 空のデータベースにつながったサイトは、初期設定の画面を出すため、攻撃者が、最初の管理者を作れる。そこから、悪意のあるプラグインを入れて、コードを実行⁠で⁠き⁠る

Wordfenceの説明は、もう少し短く、展開先の初期設定を完了させ、管理者を作り、PHPを置ける、というものです（Wordfenc⁠e⁠）⁠。

攻撃の側は、更新が、いつ始まるかを、知りません。そのため、次のような要求を、繰り返し送って、その瞬間を待ち⁠ま⁠す⁠。

GET /wp-content/upgrade/wordpress-6.9.11/setup-config.php

Wordfenceは、大きな送信元の二つが、少数のサイトを、約14.5時間、繰り返し探っていた、と書いています（Wordfenc⁠e⁠）⁠。

7.1.4⁠で変わっ⁠た⁠こ⁠と

Picusの説明では、7.1.4は、次の三つを変えました（Picu⁠s⁠）⁠。

• 展開先のフォルダー名に、16文字のランダムな文字列⁠が⁠付⁠く
• upgradeフォルダーのindex.phpが、消されずに残る（フォルダーの一覧が見えるのを⁠防⁠ぐ⁠）
• 本物のサイトへのコピーで、wp-config.phpが、対象から⁠外⁠れ⁠る

ただし、この修正を入れる更新そのものは、まだ、古い更新処理で動きます。展開を行うのが、すでに入っている古いコードだからです。Wordfenceも、更新は、脆弱な更新処理を、最後に一度、動かす、と書いています。そのため、次の「いま、やること」の二番目が、大事になり⁠ま⁠す⁠。

誰が危な⁠い⁠の⁠か

条件は、重なっています。Wordfenceは、次の四つが、そろう必要がある、と書いています（Wordfenc⁠e⁠）⁠。

CISAがCVEレコードに付けた評価も、「自動化できる：いいえ」「悪用：実際に起きている」「技術的な影響：全面的」です（CVEレコー⁠ド⁠）⁠。

実際に危ないのは、次のようなサイト⁠で⁠す⁠。

• 自動更新を止めていて、手作業で更⁠新⁠す⁠る
• 複数のサイトを、手作業で、順に更新し⁠て⁠い⁠る
• 4.6以前の、古い本体を使っている（修正版が出ていません。サポートされている版への、移行が必要です。Pic⁠u⁠s⁠）

いま、や⁠る⁠こ⁠と

1. 更新済みか、確⁠認⁠す⁠る

管理画面で、「ダッシュボード」の「更新」を開き、7.1.4、またはお使いの系列の修正版になっているかを見ます。Wordfenceは、自動更新が有効なら、すでに更新されているはずだが、思い込まずに確認を、と書いています。コマンドが使える環境なら、次で確認でき⁠ま⁠す⁠。

wp core version

2. まだなら、道をふさいでから更⁠新⁠す⁠る

更新の前に、upgradeフォルダーへの、外からのアクセスを止めます。WordPressは、このフォルダーを、サーバーの内部でしか使いません。止めても、更新は、止まりません（Picu⁠s⁠）⁠。

Nginxなら、次⁠で⁠す⁠。

location ^~ /wp-content/upgrade/ {
    deny all;
}

.htaccessしか触れない場合は、WordPressのルートの.htaccessの、書き換えの規則より上に、次の一行を足し⁠ま⁠す⁠。

RedirectMatch 403 ^/wp-content/upgrade/

upgradeフォルダーの中に、.htaccessを置く方法は、使えません。古い更新処理が、展開の前に、そのフォルダーの中身を全部消すため⁠で⁠す⁠。

設定のあとは、そのフォルダーへの要求が、403を返すことを確認してから、更新します。なお、コマンドのwp core updateは、同じ更新処理を使うため、代わりにはなりません（Picu⁠s⁠）⁠。

Wordfenceも、更新の前に、PHPへのアクセスを、サーバー側で止めることを、追加の対策として挙げています。同社のファイアウォールで守られるのは、有料の版を使い、「Extended Protection」を有効にしている場合です。無料の版には、同じ保護が、11月27日に届き⁠ま⁠す⁠。

3. 更新済みでも、ログ⁠を⁠見⁠る

自動更新で直ったサイトも、更新が走っていた間に、狙われていなかったかを、一度、確認します。アクセスログで、upgradeフォルダーの下の、PHPへの外からの要求を探します。正規の更新で、外から、これらのファイルを呼ぶことは、ありません（Wordfenc⁠e⁠）⁠。

grep -E "/wp-content/upgrade/.*\.php" access.log

ログの場所は、環境で違います。Wordfenceが、特に怪しい、とする送信元は、次のとおり⁠で⁠す⁠。

103.59.160.171
2001:df1:e8c0::106b
51.89.103.78
185.177.72.61
195.3.220.7
96.62.218.148
20.217.186.29
87.58.197.83
154.26.238.8
20.46.43.126

あわせて、upgradeフォルダーの中に、残ったファイルがないか、見覚えのない管理者やプラグインがないか、確認します。ログに何もなくても、侵害されていない、という保証には、なりません（Wordfenc⁠e⁠）⁠。

見つかっ⁠た⁠経⁠緯

発見者のBayram氏は、自社のブログで、AIのモデル（本人の記述では「GPT 5.6 Sol」）を調査の相手にして、最初の調査から、動く攻撃の組み立てまで、約4時間だった、と書いています。この欠陥は、2008年公開のWordPress 2.7から、更新処理に入っていた、とも書いています（Picus）。どちらも、同社の自己申告で、ほかの資料では確かめられていま⁠せ⁠ん⁠。

未確⁠認⁠の⁠点

• 実際に、このCVEで乗っ取られたサイトが、あるか。Wordfenceは、24万件の試みは、乗っ取りの件数ではなく、ほとんどは、自動の試みだろう、と書いて⁠い⁠ま⁠す
• 24万件は、Wordfenceが自社の製品で遮断した件数です。サイト全体の件数では、あり⁠ま⁠せ⁠ん
• 日本のレンタルサーバー各社が、どう対応しているか。JPCERT/CCやIPAの注意喚起は、確認できてい⁠ま⁠せ⁠ん
• 「2008年から」と「約4時間」は、発見者の所属する会社の記⁠述⁠で⁠す
• 修正版の対象は4.7までで、Picusは、更新処理の挙動は2.7から、と書いています。4.6以前に、実際に攻撃が成り立つかは、確認できてい⁠ま⁠せ⁠ん

関⁠連⁠記⁠事

• サーバー側の、更新の確認の話：PHPの更新がまだの人へ――PHP2Shellの現状と、いま確認す⁠る⁠こ⁠と
• CVEの登録件数が、2026年は前年の2倍超に――グラフの元データを数え直して見えた、増えた場所と、増えていない場所：自社が何を使っているかの、棚卸⁠し⁠の⁠話
• OpenSSHの脆弱性「*sshole」――対象は、AlpineなどのLinuxだけ。確認の方法と対処：同じ週の、サーバー側の⁠脆⁠弱⁠性

WordPressのサイトの、更新の確認や、アクセスログの点検でお困りの方は、お問い合わせくだ⁠さ⁠い⁠。