【緊急】WordPress本体 CVE-2026-119977：CISAが悪用確認のKEVに追加（11月3日）— 更新作業の最中を狙われる、7.1.4／7.0.8／6.9.11など各系統の修正版へ更新を（CVSS v3.1 8.1）

WordPress本体の脆弱性CVE-2026-119977が、2026年11月3日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。WordPress本体（コア）の更新作業のあいだに、認証なしでサーバー上のコードを実行される恐れがあります。修正は、2026年10月28日に公開された7.1.4（7.1系）、7.0.8（7.0系）、6.9.11（6.9系）、6.8.12（6.8系）など、各系統の版に入っています。管理画面で使っている版を確認し、修正版へ更新してください。

自動更新が有効なサイトは、すでに更新済みの場合があります。WordPress.orgは、自動更新に対応するサイトでは更新が自動で始まると案内しています。ただし、自動更新を止めているサイト、更新に失敗したサイト、レンタルサーバーや制作会社が更新を管理しているサイトは、版を自分の目で確認してください。WordPressを使っていなければ、今回の対象ではありません。

スコアの出どころ：8.1（CVSS v3.1、ネットワークから・攻撃の複雑さ高・権限不要・機密性／完全性／可用性への影響がすべて高）は、NVDに載っている、CVE番号を付けた側（Wordfence）の評価です。NVDは11月3日の時点で「分析中」で、NIST自身のスコアはまだありません。NIST自身のスコアが付くと、この数字は変わる可能性があります。

何が起きているのか（公表されている範囲）

• ▸CVE-2026-119977：NVDの記録によると、コアの更新（完全なパッケージを使う更新）のときに使う作業用の置き場が、予測でき、外部から到達できるため、認証なしの攻撃者が更新中の時間帯にサーバー上でコードを実行できる欠陥です。CVE記録は10月31日に公開されました
• ▸公式の説明：WordPress.orgの7.1.4の告知は「アップグレードの過程の弱点で、更新のあいだにリモートコード実行につながり得る」と書いています。HelpHub（公式の版の解説）は「コア更新中の競合状態（レースコンディション）で、リモートコード実行につながり得る」と書いています。NVDとCISAは、この欠陥をWordPress.orgの7.1.4の告知と結び付けています
• ▸悪用の状況：CISAがKEVへ追加したこと（11月3日）は、実際に悪用が確認されたことを意味します。KEVの項目には、侵害の痕跡の調査（フォレンジック）を優先する印が付いています。攻撃の規模や手口の詳細は、確認できた資料にはありませんでした
• ▸同じ7.1.4で直った別の問題：保存型のクロスサイトスクリプティング（XSS）など、複数の問題も同時に修正されています。この記事は、KEVに載ったCVE-2026-119977だけを扱います

影響を受けるバージョンと、上げるべき版

• ▸対象：4.7から7.1.3まで（NVDのCVE記録）。7.1系なら7.1.4より前、7.0系なら7.0.8より前、というように、各系統の修正版より前が対象です
• ▸各系統の修正版（いずれも10月28日公開。WordPress.orgのHelpHubで確認）：7.1系は7.1.4、7.0系は7.0.8、6.9系は6.9.11、6.8系は6.8.12、6.7系は6.7.11、6.6系は6.6.11、6.5系は6.5.14、6.4系は6.4.14。6.3系以前にも同日に各系統の版が出ています（6.3.14、6.2.15、6.1.16、6.0.18、5.9.20、5.8.19、5.7.21、5.6.23、5.5.24、5.4.25、5.3.27、5.2.30、5.1.28、5.0.31、4.9.35、4.8.34、4.7.39）。各版のHelpHubに、コア更新中の競合状態でリモートコード実行につながり得る問題を直したと書かれています
• ▸可能なら最新の7.1.4へ：WordPress.orgは、積極的にサポートされるのは最新の版だけだと書いています。古い系統を使い続けている場合は、7.1.4への移行を検討してください

今日やること

• ✓★管理画面の「ダッシュボード」→「更新」で、WordPressの版を確認する。上の修正版より前なら対象です
• ✓★修正版へ更新する。管理画面の「更新」から行うか、https://wordpress.org/download/releases/ から取得します（WordPress.orgの案内）。更新の前に、サイトとデータベースのバックアップを取っておきます
• ✓自動更新が済んでいるかを確かめる。自動更新が失敗していることもあります。版が修正版になっているかを自分で見ます
• ✓修正版にする前にコアの更新を行ったサイトは、念のため侵害の痕跡を点検する。管理者アカウントに見覚えのないものがないか、WordPressのフォルダに見覚えのないファイルがないか、サイトの表示が改ざんされていないかを見ます。これは一般的な点検で、公式が示した手順ではありません
• ✓自分で管理していない場合は、レンタルサーバー・制作会社へ「修正版に更新済みか」を聞く

すぐ更新できないとき

確認できた資料（WordPress.orgの告知とHelpHub、NVD、CISAのKEV）に、この脆弱性の回避策の記載はありませんでした。公式が示していない一時しのぎは、効果を保証できないため、この記事では手順として載せません。プラグインの互換性の確認などで更新が遅れる場合も、修正版への更新を最優先にし、日程を先に決めてください。更新までの間は、次の2点を優先してください。

• ▸インターネットに公開しているサイトを最優先にする。KEVに追加された事実が、順番の根拠です
• ▸更新後に、侵害の痕跡の点検まで行う。この欠陥は更新作業の最中を狙うと記録に書かれています。更新で修正版になっても、更新の前後に入られていた場合は直りません

確認できなかったこと

• ▸Wordfenceの技術的な説明。NVDが参照するWordfenceのページは、確認時に表示できませんでした（読み込みに専用の仕組みが必要でした）。仕組みの詳細や、侵害の手がかりは、この記事では示せません
• ▸NISTによるスコア。NVDは11月3日の時点で分析中です。8.1は、CVE番号を付けた側の評価です
• ▸攻撃の規模・攻撃者。確認できた資料に、件数や攻撃者の情報はありませんでした
• ▸日本国内の被害。この記事では示せません

共有するならこの3行

• ▸WordPress本体のCVE-2026-119977が、11月3日にCISAの「悪用確認」カタログ（KEV）に追加された。更新作業の最中に、認証なしでコードを実行される恐れがある
• ▸★管理画面の「更新」で版を確認し、7.1.4（7.1系）／7.0.8／6.9.11／6.8.12など、使っている系統の修正版へ。自動更新が済んでいるかも確認する
• ▸入られていないかの点検も。確認できた資料に回避策の記載はなかった。レンタルサーバーや制作会社へ「修正版に更新済みか」を聞く

根拠にしたページ