WordPress RCE脆弱性CVE-2026-119977、更新機能のレースコンディション——7.1.4・6.9.11など各系列の修正版で対策

WordPress更新機能のRCE脆弱性とは何か

2026年10月下旬、WordPressのコア更新処理に深刻なリモートコード実行（RCE）脆弱性が存在することが明らかになった。セキュリティ情報サイトsecurity-next.comや技術解説メディアcyber.spool.co.jpの報告によると、この脆弱性（CVE-2026-119977）はWordPress 4.7以降の各系列のうち、修正版より前の版に影響し、2026年10月28日公開のWordPress 7.1.4と各系列の修正版（7.0.8・6.9.11・6.8.12など）で修正された。

問題の根本はレースコンディションにある。WordPressがコアの自動更新または手動更新を実行する際、パッケージを一時的に展開するディレクトリ wp-content/upgrade/ が、ごく短い時間だけ外部からアクセス可能な状態になる。攻撃者はこの隙を突き、同ディレクトリに悪意あるスクリプトを設置してRCEを成立させる。認証は一切不要であり、攻撃者にサーバーログイン権限や管理者権限は求められない。

重大度の評価はセキュリティ機関によって微妙に異なる。Wordfenceの評価はCVSSv3.1ベーススコア8.1（High）（security-next.com）、一方Patchstackは独自スコアを9.0と評価しつつ、実環境での悪用には一定の困難さが伴うとも説明している（rocket-boys.co.jp）。タイミング依存の攻撃手法であっても、自動化スクリプトによる大量試行を前提とすれば、その困難さは実質的に緩和される。いずれの評価も、組織的な対応を要する高リスク脆弱性と位置づけている点は変わらない。

関連記事PHPのCVE-2026-109619、対象版と対処は？ ／ PHP脆弱性のAI対策、中小企業の実務は？

この脆弱性が日本企業にとって意味すること

WordPressは国内でも商用サイト・コーポレートサイト・メディアサイトなど広範に使われており、影響範囲の広さは他のCMSとは桁が異なる。今回の問題が特に厄介なのは、「アップデートを行う」という正当かつ推奨される運用行為そのものが攻撃の窓口になっている点だ。

攻撃の手口も洗練されている。cyber.spool.co.jpの報告によると、攻撃者は setup-config.php など特定のファイルパスへ継続的にHTTPリクエストを送るポーリング手法を使い、更新処理と自身のリクエストのタイミングを合わせようとする。これは自動化スクリプトによる大量試行が前提であり、パッチ公開後24時間で62,969件の攻撃試行をWordfenceが遮断したという事実（cyber.spool.co.jp）は、すでに組織的な攻撃が始まっていることを示している。

日本国内のWordPressサイトの多くは、ホスティング事業者のマネージド環境やレンタルサーバー上で稼働しており、自動更新が有効化されていることも少なくない。自動更新は本来セキュリティを高める機能だが、今回の脆弱性では更新実行タイミング自体がリスクウィンドウになる。自動更新が有効かどうかにかかわらず、まず現在のWordPressバージョンを確認することが最初のステップとなる。

日本の企業Webサイトの場合、個人情報保護法に基づく安全管理措置の観点からも、CMSの既知脆弱性を放置することは管理上の問題となり得る。サイト経由で顧客情報が漏洩した場合の報告義務や対外的な説明責任を考えると、今回の対応を「ITチームの作業」として完結させるのでなく、リスク管理の観点で経営層に状況を共有することが望ましい。

WordPress RCE脆弱性への実務対応：優先順位と手順

技術対策は三層に分けて考えると整理しやすい。優先度の高い順に示す。

第一優先：WordPress 7.1.4へのアップデート

最も確実かつ根本的な対策は、2026年10月28日公開のWordPress 7.1.4への更新だ（rocket-boys.co.jp、cyber.spool.co.jp）。WordPress 7.0系・6.9系・6.8系の旧ブランチにも修正版が提供されており、最新バージョンに移行できない環境でも対応パッチの適用は可能とされる（rocket-boys.co.jp）。WordPress公式のセキュリティ情報（GHSA-4w3m-c66w-69mg）によると、修正版は7.0系が7.0.8、6.9系が6.9.11、6.8系が6.8.12で、4.7系まで各系列に提供されている。すでに各系列の修正版を使っているサイトは、この脆弱性の対象外だ。

アップデート前には必ずデータベースとファイルのバックアップを取得し、ステージング環境でのテストを挟むことが望ましい。ただし本脆弱性が既に積極的に悪用されている状況では、テスト期間を長くとることのリスクも考慮する必要がある。バックアップ取得とアップデートを当日中に完了させるスケジュールが現実的な落としどころとなる。

第二優先：Webサーバーでwp-content/upgrade/への外部アクセスを遮断

アップデートに加え、Webサーバー設定で wp-content/upgrade/ ディレクトリへの外部HTTPリクエストを拒否する設定を入れる（rocket-boys.co.jp）。Apacheであれば .htaccess、Nginxであれば location ブロックで制御できる。この設定はWordPressの通常動作に影響を与えず、今後の同種の攻撃に対する多層防御としても機能する。

マネージドWordPressのホスティングを利用している場合は、ホスティング事業者側で既に対応済みかどうかをサポート窓口に確認することを推奨する。事業者の対応状況によって自社での追加作業が変わるため、早期に状況を把握することが効率的だ。

第三優先：ログ調査による侵害痕跡の確認

すでに攻撃を受けていないかを確認するため、Webサーバーのアクセスログで wp-content/upgrade/ 配下への不審なGET・POSTリクエストを遡って調べる（cyber.spool.co.jp）。特に setup-config.php や拡張子が .php のファイルへのリクエストが繰り返されていた場合は、侵害が試みられた可能性がある。ログ保存期間が短い環境では、今後の検出に備えてログ保持設定を見直すことも合わせて検討したい。

侵害が疑われる場合は、アップデート適用だけでなくサーバー上のファイルを公式配布物と照合するハッシュ検証まで踏み込む必要がある。バックドアが設置されていた場合、コアのパッチ適用のみでは不十分だ。

対応判断に使える脆弱性リスク比較

今回のWordPress RCE脆弱性を他の典型的なWordPress脆弱性と比較すると、対応優先度の判断材料になる。

脆弱性の種別	認証要件	攻撃の複雑度	影響スコープ	対応緊急度
今回：更新機能のRCE（レースコンディション）	不要	中（タイミング依存・自動化で緩和）	サーバー全体	高（即時対応）
管理者権限が必要なRCE	管理者認証あり	低	サーバー全体	中〜高
プラグインのSQLインジェクション	不要（場合による）	低	データベース	高
XSS（格納型）	投稿権限あり	低	ブラウザ側	中
ファイルインクルード（プラグイン起因）	不要	低	サーバー側ファイル	高

表：今回のRCE脆弱性は認証不要かつサーバー全体に影響が及ぶ点で、対応優先度が最上位に位置する。攻撃の複雑度が「中」とされるのは、レースコンディションのタイミング合わせが必要なためだが、自動化スクリプトによる大量試行で実質的に緩和される。

注意点・限界：過信すべきでないこと

今回の対応には考慮すべき限界がある。

アップデートは万能ではない。すでにサーバーへの侵入を許していた場合、アップデートを適用しても侵害の痕跡やバックドアが残り続ける可能性がある。ログ調査とあわせて、ファイルの完全性チェック（FIMツールや公式配布物とのハッシュ比較）まで実施することが望ましい。

wp-content/upgrade/へのアクセス遮断は、一部のホスティング環境やマルチサイト構成では設定の複雑度が上がる場合がある。設定変更後にWordPressの更新機能が正常動作するかを、必ずステージング環境または検証環境で確認すること。

また、CVE番号・CISA KEV追加・対応期限といった情報は、執筆時点で独立した複数ソースによる確認が取れていない。これらの情報を稟議や社内報告書に記載する場合は、NIST NVD・CISAの公式サイトで最新状況を別途確認することを強く推奨する。

さらに、今回の脆弱性はWordPress Core側の修正だが、プラグインやテーマが独自の更新処理を実装している場合、類似のレースコンディションが別途存在する可能性がある。Core修正が完了しても、プラグイン・テーマの更新状況を継続的に管理する必要がある点は変わらない。セキュリティ対策の自動化を機械学習で強化する背景技術については機械学習の基礎と実装で理解を深めることができる。

---

参考文献

• cyber.spool.co.jp「WordPress更新機能のRCE脆弱性、パッチ公開24時間で約6.3万件の攻撃試行」
  https://cyber.spool.co.jp（2026年10月時点）
• rocket-boys.co.jp「WordPress 7.1.4でRCE脆弱性を修正、旧ブランチへも修正版を提供」
  https://rocket-boys.co.jp（2026年10月時点）
• security-next.com「WordPress RCE脆弱性、CVSSv3.1スコア8.1（High）」
  https://security-next.com（2026年10月時点）