2026-11-02
WordPress 7.1.4 脆弱性 CVE-2026-119977｜更新中に遠隔からコードを実行されうる欠陥の修正と、自動更新・バージョンの確認
WordPress開発チームは2026年10月28日、セキュリティリリース7.1.4を公開し、本体の更新作業中に遠隔からコードを実行されるおそれのある欠陥を直した。WordPressのGitHub勧告によれば、完全なパッケージでの本体更新の際、新しいファイルが外から見える更新用フォルダ内の予測しやすい場所に展開され、認証のない攻撃者がその展開との競争に勝てばリモートコード実行（RCE）に至りうる。修正は7.1.4と、4.7までの各ブランチへのバックポートで提供される（7.0.8、6.9.11、6.8.12など）。CVE番号CVE-2026-119977は10月31日にWordfence（CNA）が登録し、CVSS v3.1で8.1（高）、攻撃の複雑さは「高」。WordPressの勧告は深刻度を「低」とし、スコアを付けていない。報道によれば、WordPress向けのセキュリティ企業は、ファイアウォールの規則の展開から9分後に最初の一致を観測し、最初の21時間で更新用の一時的な場所を狙う要求を1万8,500件超記録した。同社は侵入の成功を報告していない。11月2日にCISAの悪用が確認された脆弱性の一覧（KEV）を確認した時点では、この脆弱性は載っていない。自動更新が有効なサイトは自動で更新される。無効のサイトは、管理画面の「更新」から手動で7.1.4（または自分のブランチの修正版）に上げる。当サイトの結論：版を確かめ、自動更新が止まっているサイトは今日のうちに手動で更新する。