WordPress 7.1.3以下の更新中RCEを狙う攻撃試行をWordfenceが観測｜21時間で1万8,500件超

「WordPress Core」の脆弱性情報。影響バージョンはWordPress Core 4.7.0〜7.1.3のうち各系列の2026年10月28日付修正版を未適用の環境。更新用ディレクトリへのHTTPアクセスとPHP実行が許され、完全版Core更新中の数秒間に悪用可能。4.6以前はセキュリティ更新の提供対象外。。修正版 7.1.4 / 7.0.8 / 6.9.11 / 6.8.12 / 6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 など各系列の2026年10月28日付修正版（4.7.39まで） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WordPress Core（WordPress本体）

CVSS / 深刻度

8.1 / High

影響バージョン

WordPress Core 4.7.0〜7.1.3のうち各系列の2026年10月28日付修正版を未適用の環境。更新用ディレクトリへのHTTPアクセスとPHP実行が許され、完全版Core更新中の数秒間に悪用可能。4.6以前はセキュリティ更新の提供対象外。

修正版

7.1.4 / 7.0.8 / 6.9.11 / 6.8.12 / 6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 など各系列の2026年10月28日付修正版（4.7.39まで）

脆弱性種別

未認証RCE（WordPress Core更新処理の競合状態）に対する実攻撃試行

脆弱性の概要

WordPress 7.1.4で修正された、Core更新中の短時間に認証なしでサーバー上のコード実行につながり得る脆弱性について、新たに実際の攻撃試行が観測されました。Wordfenceは2026年10月29日、10月28日に配信した新しいWAFルールの適用から9分後に最初の一致リクエストを確認し、最初の21時間で更新用の一時インストーラーを狙う18,500件超のリクエストを観測したと公表しました。これはWordfenceが観測した攻撃リクエスト数であり、18,500サイトの被害数やRCE成功数ではありません。侵害成功の確認は公表されていません。10月28日の修正版公開とは別の、攻撃状況に関する新情報です。

技術的な内容

更新中、完全なWordPressパッケージがwp-content/upgrade/配下の推測可能な一時ディレクトリに展開され、wp-admin/setup-config.phpなどが直接アクセス可能となる場合があります。攻撃には完全版のコア更新が実行される数秒程度の時間帯、到達可能な展開先URL、PHP実行可能なWebサーバー構成が必要です。WordfenceはWAFルールを2026年10月28日20:30 UTCに配布し、21時間で18,500件超の要求を検知。主要な2送信元は約14.5時間にわたり対象サイトへ繰り返しアクセスしました。悪用試行の観測は確認済みですが、実運用サイトでのコード実行成功は未確認です。Wordfence評価はCVSS v3.1 8.1（High）。PatchstackはCVSS 9.0と評価する一方、実際に競合状態を成立させる難しさから独自の対処優先度をLowとしています。CVE番号は現時点で未割当です。通常のWordPressプラグインは、直接実行される一時展開先のPHPを通過しない場合があるため、通常のWordPress内で動くWAFのみでは遮断できない可能性があります。

悪用状況

実攻撃を確認

推奨対応

WordPress Coreを7.1.4、または各旧系列の10月28日付修正版へ早急に更新し、実際に更新が完了したことを確認してください。Webサーバー設定を変更できる場合は、更新作業の前からwp-content/upgrade/への外部HTTPアクセスと当該領域でのPHP実行を禁止し、ディレクトリ一覧表示も無効化します。更新前後のアクセスログでwp-content/upgrade/配下のsetup-config.phpを狙うアクセス、同じURLへの連続試行、不審な管理者アカウントやファイル改ざんを調べてください。Wordfenceを使う場合はExtended Protectionの設定を確認しますが、WAFだけでなくCore更新を必須とします。WordPress 4.6以前は保守対象の系列へ移行してください。

情報源

• Wordfence公式（2026-10-29：更新中RCEを狙う攻撃試行18,500件超を21時間で観測）
• WordPress.org公式（2026-10-28：7.1.4セキュリティ更新）
• Wordfence Intelligence（対象バージョン・修正版・CVSS v3.1 8.1）
• Patchstack（独立技術解析：更新時に限る競合状態、Webサーバー側のアクセス拒否を推奨）

情報確認日時：2026年10月31日 00:11

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。