対象：WordPressでサイトを運営している人（自社サーバー・VPS・レンタルサーバー・マネージドホスティング）と、サイトの更新を制作会社や事業者に任せている人。本記事はWordPress開発チームの公式発表と勧告、CVEの記録、報道にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
WordPressでサイトを運営している人（自社サーバー・VPS・レンタルサーバー・マネージドホスティング）と、サイトの更新を制作会社や事業者に任せている人。
- 影響が確認された範囲表で見る ↓
- 欠陥の存在
- 影響を受ける版
- 修正版
さらに2件
- 深刻度
- CVE番号
- 未確認事項
- 米CISAの悪用が確認された脆弱性の一覧（KEV）への追加（11月2日時点では未掲載）
- 実際の悪用・侵入の確認（セキュリティ企業は成功を報告していない）
- NVD自身の評価（状態は「受領」）
さらに1件
- WordPressの公式発表が、勧告にある各ブランチの修正版をいつ告知するか（公式発表は「用意でき次第」と書いている）
- 今やること手順を見る ↓
- WordPressの版を確かめる
- 自動更新が有効かを確かめる
- バックアップを取ってから、手動で更新する
さらに3件
- 更新後に、版とサイトの動作を確かめる
- 管理を任せているサイトは、担当者に確認する
- 更新が遅れたサイトは、10月28日以降の動きを見る
- 最終確認日時
- 2026年11月2日（日本時間）時点
発表の続報予定と確認の記録
WordPressの公式発表は、セキュリティリリース7.1.4についてすぐ更新することを勧めると書き、自動のバックグラウンド更新があるサイトでは更新が自動で始まるとしています。CVE番号は10月31日に登録されました。報道によれば、攻撃を狙う要求は観測されていますが、侵入の成功は報告されていません。
今日やること
WordPressの版を確かめる
管理画面の「ダッシュボード」→「更新」を開くと、今の版と、新しい版があるかが分かります。ログインできない人や、複数のサイトを預かる人は、サーバーで wp core version（WP-CLIを入れている場合）でも確かめられます。修正版は、7.1系が7.1.4、7.0系が7.0.8、6.9系が6.9.11、6.8系が6.8.12、6.7系が6.7.11、6.6系が6.6.11、6.5系が6.5.14、6.4系が6.4.14です。それ以前のブランチの修正版も勧告に載っています（下の表）。
自動更新が有効かを確かめる
WordPressは標準で、セキュリティ修正などの小さな更新を自動で当てます。ただし、設定ファイルの定数、プラグイン、事業者の設定、ファイルの権限などで止まっていることがあります。管理画面の「ツール」→「サイトヘルス」で、バックグラウンド更新に問題がないかを見てください。自動更新を止めている理由が決まっていなければ、まず今回だけ手動で更新します。
バックアップを取ってから、手動で更新する
ファイルとデータベースのバックアップを、サーバーの外に取ります（バックアップと復旧の基本）。そのあと、管理画面の「更新」で「今すぐ更新」を押します。更新の途中でブラウザを閉じたり、同時にほかの更新を走らせたりしないでください。
更新後に、版とサイトの動作を確かめる
「更新」の画面で最新の版になっていること、トップページ、ログイン、問い合わせフォームなどが動くことを確かめます。7.1.4は保存型XSSなど複数の修正を含む版なので、使っているプラグイン・テーマに警告が出ないかも見ます。
管理を任せているサイトは、担当者に確認する
制作会社、取引先、レンタルサーバー、マネージドホスティングなどに任せているサイトは、「WordPress本体を、誰が、いつ更新するか」を今日中に確かめます。版を管理画面で自分でも確かめてください。
更新が遅れたサイトは、10月28日以降の動きを見る
修正版が出た10月28日以降に、サイトへの見慣れない要求や、身に覚えのないファイル、増えた管理者アカウントがないかを見ます。調べ方は サイト・サーバーが不正アクセスされていないか確かめる方法 で解説しています。
自動更新が有効
自動で始まる（公式発表）。済んだかを「更新」画面で確認
自動更新が無効・失敗
自分で更新する。バックアップ → 更新 → 動作確認
事業者・制作会社に任せている
誰がいつ更新するかを確認し、版は自分でも見る
公式発表と勧告の内容
WordPress開発チームは2026年10月28日、wordpress.org に「WordPress 7.1.4 Security Release」を載せ、修正の一覧を公表しました。今回の欠陥についての説明は、10月29日に公開されたGitHubのセキュリティ勧告にあります。
- 公開
- 2026年10月28日にWordPress 7.1.4を公開。公式発表は、すぐ更新することを勧めるとしている
- 欠陥の内容（勧告）
- 完全なパッケージを使う本体更新の際、WordPressは新しいファイルを、外から見える更新用フォルダの中の予測しやすいディレクトリに展開していた。認証のない攻撃者が、その展開との競争に勝てば、リモートコード実行（RCE）に至りうる
- 公式発表の表現
- 更新の窓の間にRCEに至りうる更新処理の弱点、と一覧に載せている（当サイト訳）。深刻度の評価、CVE番号、影響を受ける版は公式発表のページにはない
- 修正
- 7.1.4で修正。勧告によれば、古いブランチの利用者への配慮として、4.7までのすべてのブランチに修正を移した。公式発表は、移植は用意でき次第出ると書いている
- 深刻度（WordPress）
- 勧告は「低」とし、スコアは付けていない
- 自動更新
- 公式発表は、自動のバックグラウンド更新があるサイトでは更新が自動で始まるとしている
- サポート
- 公式発表は、積極的にサポートされているのは最新の版だけだと書いている
- 同じ版の修正
- 保存型XSSなど複数の修正、公開前のカスタマイザーの変更セットが認証なしで見つかる問題などを含む（公式発表の一覧）
- CVE
- CVE-2026-119977。セキュリティ企業のWordfenceがCNA（採番機関）として登録。NVDの状態は「受領」で、NVD自身の評価はまだ付いていない
- 内容
- WordPress本体の4.7から7.1.3までで、完全パッケージでの本体更新の間に使う、予測しやすく外から見える一時的な場所のために、認証のない攻撃者が更新の窓の間にコードを実行できる
- 深刻度（CVE）
- CVSS v3.1で8.1（高）。ネットワークから、認証と利用者の操作は不要、攻撃の複雑さは「高」。種類はCWE-367（確認と使用の間の競合状態）
- 食い違い
- WordPressの勧告は深刻度を「低」、CVEの記録は「高」としている。評価の主体が違うので、どちらかが誤りとは言えない。当サイトは、難しい攻撃でも、修正が出た今は更新を急ぐ立場をとる
修正版の一覧（勧告より）
| ブランチ | 影響を受ける版 | 修正版 |
|---|---|---|
| 7.1 | 7.1.0〜7.1.3 | 7.1.4 |
| 7.0 | 7.0.0〜7.0.7 | 7.0.8 |
| 6.9 | 6.9.0〜6.9.10 | 6.9.11 |
| 6.8 | 6.8.0〜6.8.11 | 6.8.12 |
| 6.7 | 6.7.0〜6.7.10 | 6.7.11 |
| 6.6 | 6.6.0〜6.6.10 | 6.6.11 |
| 6.5 | 6.5.0〜6.5.13 | 6.5.14 |
| 6.4 | 6.4.0〜6.4.13 | 6.4.14 |
| 6.3 | 6.3.0〜6.3.13 | 6.3.14 |
| 6.2 | 6.2.0〜6.2.14 | 6.2.15 |
| 6.1 | 6.1.0〜6.1.15 | 6.1.16 |
| 6.0 | 6.0.0〜6.0.17 | 6.0.18 |
| 5.9〜5.0 | 各ブランチの最終版まで | 5.9.20、5.8.19、5.7.21、5.6.23、5.5.24、5.4.25、5.3.27、5.2.30、5.1.28、5.0.31 |
| 4.9〜4.7 | 各ブランチの最終版まで | 4.9.35、4.8.34、4.7.39 |
勧告に4.6以前の修正版は載っていません。古いブランチは自動で更新されるとは限らないので、使っているなら手動で上げるか、サポートされている最新の系統へ移る計画を立ててください。
悪用の状況（報道より）
セキュリティ企業の報告にもとづく報道です。WordPress開発チームの公式発表には、悪用についての記載はありません。
- 観測した企業
- WordPress向けのセキュリティ企業。報道（SecurityWeek、10月30日）によれば、修正版の公開から数時間のうちに悪用が始まったと同社は述べている
- 件数
- 同社の新しいファイアウォールの規則を展開してから9分後に最初の一致があり、最初の21時間で、更新用の一時的な場所を狙う要求が1万8,500件を超えた
- 成功した侵入
- 同社は、侵入の成功を報告していない
- 成立の条件（報道）
- 攻撃には、完全パッケージでの更新が走っている最中の、ごく短い時間を捉える必要がある。報道によれば、攻撃者はその時間を狙い、脆弱な場所を繰り返し確かめている
- KEV
- 2026年11月2日に米CISAのKEV（データの最終更新は10月30日）を確認した時点で、CVE-2026-119977は載っていない
当サイトの見方：KEVに載っていないことは「安全」を意味しません。観測されているのは探りとみられる要求の数で、成功した例は報告されていないものの、修正版が出てから日が浅く、情報は更新される可能性があります。自動更新が止まっているサイトほど、更新が遅れやすい点が問題です。
分かっていること・分かっていないこと
| 項目 | 公表の内容 | 状態 |
|---|---|---|
| 欠陥の存在 | 完全パッケージでの本体更新中に、認証なしでRCEに至りうる競合状態。7.1.4で修正（WordPressの勧告） | 確定（WordPress） |
| 影響を受ける版 | 4.7〜7.1.3（CVEの記録、勧告） | 確定（WordPress、CVEの記録） |
| 修正版 | 7.1.4と、4.7までの各ブランチの修正版（勧告） | 確定（WordPress） |
| 深刻度 | WordPressは「低」（スコアなし）、CVE側はCVSS v3.1で8.1（高）、攻撃の複雑さは「高」 | 確定（評価の主体ごとに異なる） |
| CVE番号 | CVE-2026-119977（10月31日登録）。WordPressの発表には載っていない | 確定（CVEの記録） |
| 狙った要求の観測 | 最初の21時間で1万8,500件超（セキュリティ企業、報道） | 報告あり（セキュリティ企業） |
| 侵入の成功 | 同社は成功を報告していない | 報告なし |
| 米CISAのKEV | 11月2日時点で未掲載 | 未掲載 |
| NVD自身の評価 | 未付与（状態は「受領」） | NVDの評価は未付与 |
更新を後回しにしてよいか
勧告によれば、問題が起きるのは完全パッケージでの本体更新の間です。それ以上の条件や、更新が済んでいないサイトが常に狙われるかどうかは、公式の資料に書かれていません。分からない部分を推測で補わず、修正版が出ているので、自分のサイトの版が修正版になっているかを早めに確かめてください。
レンタルサーバー・マネージドホスティングを使っている人へ
WordPress本体の更新を、事業者が代わりに行う契約と、利用者が自分で行う契約があります。どちらかは契約やプランで違うので、管理画面の版と事業者のお知らせで確かめてください。
事業者が行うこと（契約による）
- 本体の自動更新や、管理画面からの一括更新の仕組みを用意する
- 必要に応じて、お知らせで対応状況を知らせる
利用者が行うこと
- 管理画面の「更新」で、版が修正版になっているかを確かめる
- 自動更新が止まっていないかを確かめ、止まっていれば手動で更新する
- 事業者のお知らせは、メールのリンクではなく公式サイトで確かめる
- プラグイン・テーマも最新にしておく
更新の途中でサイトが見られなくなることがあります。ファイルの権限や容量が足りず、更新に失敗するサーバーもあります。失敗したときは、バックアップから戻せるようにしてから、事業者に問い合わせてください。
この時期は、事業者を名乗る偽のメールに注意
脆弱性が話題になっている時期は、レンタルサーバーやドメインの事業者を名乗る「至急更新してください」「アカウントが停止されます」といったメールが届きやすくなります。メールのリンクからログインせず、自分でブックマークした公式サイトで確かめてください。見分け方は フィッシングとは で解説しています。
当サイトの視点：問題は「更新ボタン」ではなく、更新が止まっていること
今回の欠陥は、更新という、守るための作業の中にありました。修正版が出た今、危険が残るのは、自動更新が止まっているサイト、更新を担当する人が決まっていないサイト、古いブランチのまま放置されたサイトです。優先順位の付け方は 脆弱性の優先順位の付け方（CVSS・EPSS・KEV）、公表後の進め方は 脆弱性が公表されたときの対応手順 で解説しています。
これまでの経緯
2026年10月28日
WordPress開発チームが7.1.4を公開。更新中のRCEに至りうる欠陥、複数の保存型XSSなどを修正。10月29日
WordPressがGitHubのセキュリティ勧告を公開。完全パッケージでの本体更新の際の競合状態で、4.7までのブランチに修正を移したと説明。CVE番号の欄は「なし」。10月30日
報道で、WordPress向けのセキュリティ企業が、新しいファイアウォールのファイアウォールの規則の展開から9分後に最初の一致を観測し、最初の21時間で1万8,500件超の要求を記録したことが伝えられる。侵入の成功は報告されていない。10月31日
Wordfence（CNA）がCVE-2026-119977を登録。CVSS v3.1で8.1（高）。NVDの状態は「受領」。11月2日
当サイトが公式発表、勧告、CVEの記録、KEVを確認。KEVには未掲載。
出典（公開記録）
2026年11月2日に確認しました。公式発表を先に、報道は後に並べています。
- WordPress開発チーム「WordPress 7.1.4 Security Release」（2026年10月28日） — wordpress.org
- WordPress GitHubセキュリティ勧告 GHSA-4w3m-c66w-69mg「A race condition during core updates that could lead to remote code execution」（2026年10月29日） — github.com
- CVE-2026-119977（2026年10月31日登録、Wordfence） — cve.org ／ nvd.nist.gov
- 米CISA 悪用が確認された脆弱性の一覧（11月2日にこのCVEの有無を確認、データの最終更新は10月30日） — cisa.gov ／ JSON
- 報道：SecurityWeek「Fresh WordPress Vulnerability in Attackers' Crosshairs」（2026年10月30日、英語） — securityweek.com
更新履歴
2026-11-02：初版。WordPressの公式発表と勧告、CVE-2026-119977の記録、SecurityWeekの報道にもとづく。11月2日時点でKEVには未掲載。
次に読む
- サイトが攻撃されていないか：サイト・サーバーが不正アクセスされていないか確かめる方法
- WordPressの固め方：WordPressのセキュリティ対策
- 備え：バックアップと復旧の基本 ／ セキュリティの棚卸しチェックリスト
- 同じ時期の緊急の脆弱性：PHPの重大な脆弱性2件と緊急の修正版（2026年10月） ／ PHP緊急パッチのWeb・CLI確認
- 用語：RCE（リモートコード実行）とは ／ CVSSとは