概要

先月発覚したWordPress本体の脆弱性 CVE-2026-119977 を狙った攻撃が急増しています。

セキュリティ企業Wordfenceは、2026年10月28日〜11月6日の間に240,000回以上の攻撃を検知・ブロックしたと報告しました。最も攻撃が集中した10月30日だけで74,000件以上のリクエストが記録されています。

WordPress 7.1.4へのアップデートがまだの場合は、即時対応が必要です。

攻撃の実態

この脆弱性はWordPressのコアアップデーター処理中に生じる競合条件（TOCTOU）を悪用します。アップデート中に一時展開される wp-content/upgrade/ ディレクトリが公開状態になる瞬間を狙い、認証なしで wp-config.php を書き換えてサイトを乗っ取る攻撃です。

Wordfenceが観測した攻撃の推移：

• 10月28日：WordPress 7.1.4リリース（修正版公開）
• 10月30日：1日で74,000件超の攻撃をブロック（最大ピーク）
• 11月3日：CISAがKEVカタログへ登録、連邦機関に緊急対応を義務付け
• 11月6日：累計240,000回以上の攻撃をWordfenceが確認

• CVE番号：CVE-2026-119977
• CVSSスコア：8.1（High）
• 影響バージョン：WordPress 4.7 〜 7.1.3
• 修正バージョン：WordPress 7.1.4
• CISA KEV登録：2026年11月3日

影響を受けるサイト

• WordPress 4.7〜7.1.3を使用しているすべてのサイト
• 自動アップデートが無効になっているサイト
• 長期間アップデートを実施していないサイト

推奨される対策

• WordPress 7.1.4へ即時アップデート
  管理画面のダッシュボードまたはWP-CLIの wp core update で更新してください。
• アップデート直後の確認事項
  wp-content/upgrade/ へのPHPファイルアクセスのサーバーログ確認、wp-config.php の内容確認、見覚えのない管理者アカウントがないかチェックしてください。
• Wordfenceなどのセキュリティプラグインを導入
  ファイアウォールルールでこの脆弱性への攻撃をブロックします。すでに導入済みの場合はルールを最新状態に更新してください。
• wp-content/upgrade/ へのアクセスをWebサーバーでブロック
  アップデートが完了するまでの暫定対策として、nginxまたはApacheの設定でこのディレクトリへの外部アクセスを制限することを推奨します。

参考情報

出典：CoinCentral — 240,000 WordPress攻撃試行の報告
CISA KEVカタログ：https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Picus Security分析：CVE-2026-119977 詳細分析