WORDPRESS SECURITY

WordPress 7.1.4で更新中の未認証RCEを修正｜短時間の更新用ディレクトリ露出に注意

Critical

「WordPress Core」の脆弱性情報。影響バージョンはWordPress Core 7.1.3以下の未修正版。7.0以下の旧系列は2026年10月28日付の系列別バックポート未適用版。4.6以前は公式セキュリティ更新提供なし。。修正版 WordPress 7.1.4 / 7.0.8 / 6.9.11 / 6.8.12 / 6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 など、各系列の2026年10月28日付修正版（4.7.39まで）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月29日

対象製品: WordPress Core（WordPress本体）
CVSS / 深刻度: 9 / Critical
影響バージョン: WordPress Core 7.1.3以下の未修正版。7.0以下の旧系列は2026年10月28日付の系列別バックポート未適用版。4.6以前は公式セキュリティ更新提供なし。
修正版: WordPress 7.1.4 / 7.0.8 / 6.9.11 / 6.8.12 / 6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 など、各系列の2026年10月28日付修正版（4.7.39まで）
脆弱性種別: 認証不要RCEにつながり得るWordPress更新処理の競合状態（更新時一時展開先の直接アクセス）

脆弱性の概要

WordPress.orgは2026年10月28日にWordPress 7.1.4を公開し、コアの更新処理中に限って認証なしの遠隔コード実行（RCE）へつながり得る競合状態を修正しました。攻撃が成立するのは、更新中のごく短い時間帯に、Webからアクセス可能なwp-content/upgrade/配下の展開先へ攻撃者が到達できる場合です。PatchstackはCVSS 9.0とする一方、成立の難しさから独自の対処優先度をLowと評価しています。実際の悪用は確認されていません。同リリースにはInteractivity APIなどの複数の格納型XSS修正も含まれます。

技術的な内容

更新時のパッケージ一時展開先wp-content/upgrade/がWeb公開領域にあり、旧実装では展開先名が推測可能で、事前のクリーンアップによってディレクトリ一覧防止用index.phpも消去される可能性がありました。更新中の数秒程度に展開されたWordPress一式へ直接アクセスできる構成で、別途セットアップ処理を悪用してRCEに至り得ます。7.1.4では展開先名にランダム文字列を追加し、一覧防止ファイルを保持するなどの修正を実施しました。成立には更新タイミングの一致と展開先への直接Webアクセスが必要です。PHPレベルのWordPress WAFが読み込まれない経路となる可能性があり、Webサーバー側でのアクセス拒否が暫定緩和策です。PatchstackのCVSS 9.0は同社評価で、実環境の攻撃成功を意味しません。CVEは2026年10月29日確認時点で未割当・未確認です。7.1.4には格納型XSSを含む複数の修正があり、WordPress.org HelpHubは合計22件の脆弱性を修正対象として記載しています。

悪用状況

実攻撃は未確認

推奨対応

WordPress Coreを7.1.4以上へ速やかに更新し、更新後のコアバージョンとサイト動作を確認してください。旧系列を維持する場合は、WordPress.orgが2026年10月28日に提供した各系列の修正版（例：7.0.8、6.9.11、6.8.12、6.7.11、4.7.39）への更新を確認し、4.6以前はサポート対象の版へ移行してください。更新完了前の補完対策としてApache/Nginx等のWebサーバー設定でwp-content/upgrade/への外部HTTPアクセスを拒否し、ディレクトリ一覧表示も無効にしてください。WordPressの自動更新機能自体が正常に動作することを検証してください。更新直後の不審なHTTP要求、追加管理者アカウントやファイル改ざんがあれば調査します。攻撃成立時間が短く悪用も未確認のため、全サイトで侵害が生じたとは扱わないでください。

情報源

情報確認日時：2026年10月29日 06:14

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。