【最重要】WordPress本体の脆弱性（CVE-2026-119977）で攻撃を確認、修正版への更新と点検のお願い

脆弱性の概要

対象	WordPress本体（コア）4.7〜7.1.3のうち、修正が入っていないバージョン
識別番号	CVE-2026-119977
内容	本体の更新中に使う一時的な置き場所の名前が推測でき、外部からアクセスできるため、ログインなしでサーバー上のプログラムを実行される恐れがある
深刻度	CVSS v3.1で8.1（High）。Wordfenceによる評価で、更新中の短い時間を突く必要があるため、攻撃の難しさは「高」とされています
悪用の状況	2026年11月3日に米国CISAが「悪用が確認された脆弱性」のカタログ（KEV）へ追加。米国の連邦機関には11月6日までの対応が求められています
修正	2026年10月28日公開の7.1.4、および同日公開の各系統の修正版
原文	CISA：Known Exploited Vulnerabilities Catalog（CVE-2026-119977）

報道によると、Wordfenceは10月末に、24時間で約6万3千件の攻撃をブロックしたと公表しています。これは攻撃の試みの件数で、侵入に成功した件数ではありません。別のセキュリティ企業Patchstackは成功は難しいとの見方も示していますが、CISAが悪用を確認している以上、「難しいから大丈夫」とは考えず、更新を優先してください。

今すぐ確認していただきたいこと

系統ごとの修正版

7.1系	7.1.4
7.0系	7.0.8
6.9系	6.9.11
6.8系	6.8.12
6.7系	6.7.11
6.6系	6.6.11
6.5系	6.5.14
6.4系	6.4.14
6.0〜6.3系	6.3.14／6.2.15／6.1.16／6.0.18
5.x系	5.9.20／5.8.19／5.7.21／5.6.23／5.5.24／5.4.25／5.3.27／5.2.30／5.1.28／5.0.31
4.7〜4.9系	4.9.35／4.8.34／4.7.39
4.6以前	修正版は提供されていません。新しいバージョンへの移行、または公開の停止を検討してください

WordPressが積極的にサポートしているのは最新のバージョンだけです。古い系統をお使いの場合は修正版の適用を急いだうえで、7.1系への移行も計画してください。なお、7.1.4には今回の問題を含めて22件の脆弱性の修正が入っています。

すぐに更新できない場合

WordPress公式の案内に回避策の記載は確認できていません。セキュリティ企業からは、Webサーバーの設定で wp-content/upgrade へのアクセスを拒否し、ディレクトリの一覧表示を無効にする方法が案内されています。これは更新までのつなぎであり、更新の代わりにはなりません。また、WordPress内で動くプラグイン型のファイアウォールでは防げないとの指摘があるため、設定はサーバー側で行う必要があります。

修正版へ更新する作業そのものも古いプログラムで行われるため、更新の間は同じ状態が生じる可能性があります。設定できる環境であれば、更新の前に制限をかけておくとより安全です。レンタルサーバーで設定方法がわからない場合は、無理に変更せず、サーバー会社か当社にご相談ください。

現時点で分かっていないこと

• 被害の規模：侵入に成功した件数や、攻撃者、国内の被害状況は確認できていません。
• ランサムウェアとの関連：CISAのカタログでは「不明」とされています。
• 評価の変更：深刻度などの情報は、今後の調査で変わる可能性があります。

続けて取り組むこと

• 担当の明確化：サイトごとに、更新の担当者と保守契約の範囲を一覧にする。
• 更新の習慣化：本体だけでなく、プラグイン、テーマ、PHPも定期的に更新する。
• 使っていないサイトの整理：更新されないまま公開が続いているサイトは、閉じることも検討する。
• 備え：バックアップとアクセスログを十分な期間保存し、管理者アカウントには多要素認証（MFA）を設定する。

株式会社情報システム室のサポート

「自社のサイトがWordPressかわからない」「制作会社と連絡が取れない」「ログの見方がわからない」という場合は、当社にご相談ください。バージョンの確認、更新作業の支援、更新後の点検、保守体制の整理まで、IT担当者がいない企業に代わって対応します。初回のご相談・簡易診断は無料です。