WordPress Core更新中の未認証RCE（CVE-2026-119977）をCISAがKEV登録｜実悪用を公式認定

「WordPress Core」の脆弱性情報（CVE-2026-119977）。影響バージョンはWordPress Core 4.7.0〜7.1.3の各系列で2026年10月28日付の修正版を未適用のもの（例：7.1.3以下、7.0.7以下、6.9.10以下、6.8.11以下）。旧系列も修正版の有無を個別確認。4.6以前は今回のバックポート対象外。。修正版 WordPress 7.1.4／7.0.8／6.9.11／6.8.12／6.7.11／6.6.11／6.5.14／6.4.14など、各系列の2026年10月28日付修正版（4.7.39まで） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WordPress Core（WordPress本体）

CVE

CVE-2026-119977

CVSS / 深刻度

8.1 / High

影響バージョン

WordPress Core 4.7.0〜7.1.3の各系列で2026年10月28日付の修正版を未適用のもの（例：7.1.3以下、7.0.7以下、6.9.10以下、6.8.11以下）。旧系列も修正版の有無を個別確認。4.6以前は今回のバックポート対象外。

修正版

WordPress 7.1.4／7.0.8／6.9.11／6.8.12／6.7.11／6.6.11／6.5.14／6.4.14など、各系列の2026年10月28日付修正版（4.7.39まで）

脆弱性種別

更新処理中のTOCTOU競合状態による未認証の遠隔コード実行（RCE）／CISA KEV実悪用認定

脆弱性の概要

米国CISAは2026年11月3日、WordPress CoreのCVE-2026-119977をKnown Exploited Vulnerabilities（KEV）へ追加し、実際の悪用が確認された脆弱性として公式に指定しました。これは10月28日のWordPress 7.1.4公開と、10月29日のWordfenceによる攻撃リクエスト観測に続く新しい重大状況変化です。脆弱性自体は既知で、新たな別CVEではありません。KEV登録は悪用を認定する情報ですが、侵害された個別のサイト数や遠隔コード実行の成功件数をCISAが公表したものではありません。米連邦機関の是正期限は2026年11月6日で、日本の一般企業へ直接適用される法定期限ではありません。

技術的な内容

CISA公式KEVデータは2026年11月3日付でCVE-2026-119977を追加し、製品をWordPress Core、脆弱性をTOCTOU Race Conditionと記載。完全版のコア更新時、予測可能なwp-content/upgrade/配下の一時展開先に外部からHTTPでアクセスできる構成では、認証不要の攻撃者が更新処理の短い時間帯に一時インストーラーへ到達し、サーバー上でコード実行に至る可能性があります。WordfenceのCVSS v3.1評価は8.1（High）です。WordPress 7.1.4および各旧系列へのバックポートで修正されています。10月29日のWordfenceによる多数のリクエスト観測は攻撃試行であり、サイト侵害の成立数ではありません。CISAのKEV指定とWordfenceの観測の根拠は区別して扱います。KEVのknownRansomwareCampaignUseはUnknownで、ランサムウェア使用が確認されたわけではありません。

悪用状況

実攻撃を確認

推奨対応

WordPress Coreを7.1.4以上、または利用中の系列に対応する修正版へ直ちに更新し、管理画面の更新履歴と実稼働バージョンを確認してください。旧系列では修正済みバックポート版を確認し、長期的には最新のサポート系列へ移行してください。更新前にファイルとデータベースのバックアップを取得し、可能ならApache・Nginx等のWebサーバー側でwp-content/upgrade/への外部HTTPアクセスと同配下でのPHP実行を禁止してください。WordPressプラグインのWAFだけに依存しないでください。更新前後の当該ディレクトリへの不審なHTTPアクセス、管理者アカウントの追加、PHPファイル作成・改ざん、予期せぬプラグインやMUプラグインの変更を点検し、侵害が疑われたら証拠を保全して調査してください。更新後に主要ページとフォームの動作を確認してください。

情報源

• CISA公式：Known Exploited Vulnerabilities Catalog（2026年11月3日KEV登録）
• WordPress.org公式：WordPress 7.1.4 Security Release（2026年10月28日）
• Wordfence Intelligence：CVE-2026-119977、CVSS v3.1 8.1、影響バージョン・修正版
• CVE.org：CVE-2026-119977

情報確認日時：2026年11月4日 12:10

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。