CVE-2026-119977：WordPressコアのRCE脆弱性がソフトウェアアップグレード中に悪用される

WordPressのコアにおける重大な脆弱性が攻撃で積極的に標的とされており、米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）がこの欠陥を「知られた悪用された脆弱性（KEV）」カタログに追加する事態が発生しています。この脆弱性はCVE-2026-119977として追跡されており、CVSSスコアは8.1で、未認証の攻撃者がWordPress Coreのアップグレード中に脆弱なサーバーで任意のコードを実行できる可能性があります。

この脆弱性は、WordPressのアップグレードプロセスにおけるTOCTOU（Time-of-Check to Time-of-Use）の競合状態から生じています。フルパッケージのコアの更新が行われる際、WordPressは一時的に予測可能でウェブアクセス可能な場所にインストールファイルを配置します。攻撃者はこれらの場所を繰り返し探り、アップグレード中の一時的な期間にインストーラのコンポーネントに到達しようと試みます。

WordPressは2026年10月28日にリリースされたバージョン7.1.4でこの問題に対処しました。この脆弱性はWordPressバージョン4.7から7.1.3までに影響しますが、セキュリティ修正は古い適格なブランチにもバックポートされています。WordPressは最新リリースのみが積極的にサポートされていることを強調しています。

リスクは理論的な悪用を超えて広がっています。The Hacker Newsで引用されたWordfenceのテレメトリは、公開後最初の21時間内にステージングされたsetup-config.phpインストーラパスを対象とした18,500件以上のリクエストを記録しました。CISAはその後、悪用の証拠を確認し、該当する米国連邦市民機関に2026年11月6日までに脆弱性を修正するよう求めました。

セキュリティチームは、SOC Primeプラットフォームを使用して、新しい悪用技術に対する検出カバレッジを強化し、脆弱なインターネット接続システムに関連する疑わしい活動を追跡することができます。WordPressのアップグレード場所への異常なリクエスト、予期しないPHPの実行、新たに作成された管理者アカウント、疑わしいファイル、悪用後の行動を監視してCVE-2026-119977の悪用を検出します。

検出コンテンツはすべてのCVEに利用可能であるとは限りません。現在のカバレッジについてはSOC Primeプラットフォームを確認してください。関連する検出がまだ利用できない場合、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されているため、再確認してください。

営業に問い合わせる

CVE-2026-119977の分析

CVE-2026-119977は、CWE-367の下でTOCTOU競合条件として分類され、CVSS 3.1スコアは8.1です。そのベクターはネットワークベースの悪用を反映し、特権やユーザーの介入を必要とせず、機密性、統合性、可用性に大きな影響を与える可能性があります。成功する悪用は、アップグレードウィンドウ中の脆弱なリソースへの到達に依存するため、攻撃の複雑さは高く評価されています。

CVE-2026-119977は、WordPressコアのバージョン4.7から7.1.3までに影響します。この弱点はサードパーティプラグインやテーマに関連しておらず、コアのソフトウェアアップグレードメカニズムそのものに存在します。

この問題は、フルパッケージのコアのアップグレード中に発生します。WordPressは、新しいパッケージを既存のインストールと置き換える前に、wp-content/upgradeディレクトリの下のステージングロケーションに一時的に展開します。影響を受けるリリースでは、ステージングロケーションの一部が予測可能で、かつアップデートが進行中にウェブから到達可能になる可能性があります。

特に重要なコンポーネントの1つは、ステージングされたsetup-config.phpインストーラです。WordPressがクリーンアップを完了する前に一時的なパスを正しく予測し、そのコンポーネントに到達した未認証の攻撃者は、ステージングされたインストールとやり取りでき、最終的にサーバーでPHPコードを実行する可能性があります。

これは通常とは異なる悪用モデルを作り出します。脆弱なWordPressサイトは必ずしも常に悪用可能であるわけではありません。代わりに、攻撃者はアップグレード中のフルパッケージのインストールがステージングファイルを露出する短期間を捉えなければなりません。研究者によると、この機会は数秒しか続かない可能性があります。

攻撃者は、自動化によってその制限を補うことができます。単一のリクエストを行うのではなく、脅威アクターは潜在的なアップグレードパスを継続的にポーリングし、ターゲットが更新を開始するのを待つことができます。Wordfenceは、攻撃者がステージングされたインストーラーロケーションのバリエーションを繰り返し要求する様子を観察し、現実世界の攻撃者が迅速に競合状態を標的とする方法を理解したことを示しています。

観察された多数のリクエストはそれでも慎重に解釈されるべきです。報告された数字は、ブロックされたリクエストまたは悪用の試みを示しており、各リクエストが成功したリモートコードの実行に繋がったことを意味しているわけではありません。悪用には、アクティブなフルパッケージのアップグレードおよび他の必要なサーバー条件と一致するリクエストが必要です。

Wordfenceの初期テレメトリは、最初の21時間内にステージングされたインストーラーパスに対する18,500件以上のリクエストを示しました。GBHackersはその後、24時間以内に59,000件近い試行がブロックされたと報告し、The Hacker Newsも継続的な悪用活動を示すさらなるテレメトリを引用しました。

The Hacker Newsによる独立したハニーポットテレメトリは、10月30日に悪用の試みを記録し、CISAの脆弱性を積極的に悪用されていると分類する決定にさらなる裏付けを提供しました。CISAがKEVに欠陥を追加したことは、公共のWordPressインフラストラクチャを運営する組織にとっての緊急性を大幅に高めています。

執筆時点で、レビューされた情報源は、広く利用可能で公開検証済みのCVE-2026-119977のPoCリポジトリを文書化していません。しかし、公開された悪用コードはリスクを確立するために必要ではなく、既にスケールで悪用の試みが観察され、CISAが既存の悪用を確認しました。

WordPress 7.1.4は、脆弱なアップグレードプロセスを変更します。入手可能な技術レポートによれば、修正にはステージング場所をより予測不可能にし、直接アクセスに対する追加の保護を導入し、ステージングされた構成データが安全でない方法で昇格するのを防ぐことが含まれています。

WordPressは、アップグレードプロセスの弱点を報告してくれたセキュリティ研究者Umut Bayramに謝意を表しました。バージョン7.1.4は2026年10月28日にリリースされ、その後CVEレコードが10月31日に公開されました。

CVE-2026-119977の検出には、防衛者がwp-content/upgradeの下の異常なパスを対象としたウェブリクエストに特に注意を払う必要があります。特に、setup-config.phpのステージングのコピーを参照するリクエストは、自動化されたプロービングを示す可能性があり、競合状態を狙おうとしています。

成功した悪用は、影響を受けるウェブサーバーのコンテキストでリモートPHPコードの実行を可能にする可能性があります。したがって、防衛者は疑わしいアップグレードパスのリクエストを、予期しないPHPファイル、WordPress構成データの変更、見慣れない管理者アカウント、悪意のあるプラグイン、ウェブサーバーによって生成された通常でない子プロセス、または予期しない外部接続などの後続の証拠と関連づけるべきです。

公共の報告では、安定したコマンド・アンド・コントロールドメインやマルウェアハッシュなど、攻撃者特有のCVE-2026-119977のIOCを包括的に特定していません。これにより、行動ベースの検出が特に重要になります。予測できるステージングパスへのリクエスト、アップデートウィンドウ中の疑わしい活動、および悪用後の変更は、静的なインジケータに単独で依存するよりも持続的なハンティングの機会を提供します。

CVE-2026-119977の緩和

CVE-2026-119977の主な緩和策は、WordPressを直ちに更新することです。WordPress 7.1.4にはセキュリティ修正がありますが、修正は古いリリースブランチにも提供またはバックポートされています。組織は最新の積極的にサポートされているWordPressバージョンへの移行を優先すべきで、レガシーのセキュリティバックポートに依存し続けないでください。

管理者は以下の行動を取るべきです：

1. インターネットに接続されたWordPressインストールをバージョン7.1.4またはそれ以降にアップグレードする。
2. 自動アップデートが正常に完了したことを確認し、アップデートが適用されたと想定しない。
3. 古いWordPressインストール、開発中の忘れられたサイト、ステージングサイト、レガシーサイトなどをインベントリする。
4. wp-content/upgradeおよびステージングされたsetup-config.phpパスを対象としたリクエストについて、ウェブサーバーおよびWAFログをレビューする。
5. 予期しないPHPファイル、新しいWordPress管理者アカウント、許可されないプラグイン、および説明のできない構成変更を調査する。
6. 悪用後の活動の証拠について、外部接続とウェブサーバー子プロセスをレビューする。
7. 一時的なPHPファイルへの直接リクエストをカバーするために、WAF保護がリクエストパスに十分早く作動するようにする。
8. 運用上可能な場合、一時的なアップグレードディレクトリへの直接ウェブアクセスを制限することを検討する。

ウェブアプリケーションファイアウォール（WAF）のルールは、自動化された攻撃の試みに対する露出を減らすことができますが、パッチの代替とは見なされるべきではありません。脆弱なリソースは、通常のWordPressリクエストフロー以外に一時的に存在する可能性があるため、管理者はWAF展開がステージングされたPHPファイルへの直接リクエストを実際に検査していることを確認する必要があります。

アクティブな攻撃が既に進行中の間にアップグレードした組織は、遡及的な調査も検討すべきです。更新が完了すると脆弱な行動は削除されますが、脆弱なステージングディレクトリが利用可能な間にサーバーが侵害されていなかったことを証明するものではありません。

正確なアップグレードのタイムスタンプに関連するアクセスログをレビューします。アップグレードの直前または途中に発生したセージングパスへのリクエストは、追加の注意が必要です。セキュリティチームは、次にそれらのリクエストをファイルシステムの変更、WordPressアカウントの変更、PHPの実行、疑わしいネットワーク接続、および他の悪用後の指標と関連付ける必要があります。

妥協が疑われる場合には、実用可能な範囲で影響を受けたホストを隔離し、再メディエーション前に関連するウェブ、アプリケーション、認証、システムログを保存し、疑わしいファイルを収集します。WordPress/PHPプロセスがアクセス可能な資格情報と秘密は、侵害された可能性を考慮し、調査の結果に基づいてローテーションすべきです。

CISAがKEVに脆弱性を含めることで、修正は単なる通常のパッチサイクルの項目としてではなく、即時の運用優先事項として扱われるべきであることが確認されました。連邦市民行政機関は、2026年11月6日までにこの問題に対処するよう指導されました。