WordPress
このタグの記事 8 件
WordPress 7.1.4 脆弱性 CVE-2026-119977｜更新中に遠隔からコードを実行されうる欠陥の修正と、自動更新・バージョンの確認
WordPress開発チームは2026年10月28日、セキュリティリリース7.1.4を公開し、本体の更新作業中に遠隔からコードを実行されるおそれのある欠陥を直した。WordPressのGitHub勧告によれば、完全なパッケージでの本体更新の際、新しいファイルが外から見える更新用フォルダ内の予測しやすい場所に展開され、認証のない攻撃者がその展開との競争に勝てばリモートコード実行（RCE）に至りうる。修正は7.1.4と、4.7までの各ブランチへのバックポートで提供される（7.0.8、6.9.11、6.8.12など）。CVE番号CVE-2026-119977は10月31日にWordfence（CNA）が登録し、CVSS v3.1で8.1（高）、攻撃の複雑さは「高」。WordPressの勧告は深刻度を「低」とし、スコアを付けていない。報道によれば、WordPress向けのセキュリティ企業は、ファイアウォールの規則の展開から9分後に最初の一致を観測し、最初の21時間で更新用の一時的な場所を狙う要求を1万8,500件超記録した。同社は侵入の成功を報告していない。CISAは11月3日、この脆弱性を悪用が確認された脆弱性の一覧（KEV）に追加した（KEVの記録では米連邦機関の対応期限は11月6日で、CISAは連邦機関に、BOD 26-04のもとでフォレンジックの初期調査も行うよう求めている）。自動更新が有効なサイトは自動で更新される。無効のサイトは、管理画面の「更新」から手動で7.1.4（または自分のブランチの修正版）に上げる。当サイトの結論：悪用が確認された脆弱性として扱い、版を確かめて今日のうちに更新する。10月28日以降に更新が遅れたサイトは、侵害の跡がないかも確かめる（当サイトの助言）。
PHP脆弱性 CVE-2026-109618・CVE-2026-109619｜米CISAが悪用を確認（KEV）・修正と確認
PHPの開発チームは2026年10月21日、認証なしで遠隔からコードを実行される（RCE）おそれのある重大な脆弱性2件を直したPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、すべての利用者にすぐ更新するよう求めた。脆弱性はメモリ不足の処理に関するCVE-2026-109618と、リクエストをまたいで古い内部状態が残るCVE-2026-109619で、どちらもCVSS v4.0で9.2。Webのリクエストを処理するPHP全般（PHP-FPM、Apacheのmod_php、php-cgi、FrankenPHP、LiteSpeed）が対象で、開発チームはmod_phpの危険が最も高いとし、認証なしのリクエストでアプリケーションのコードが動く前に攻撃が成立する攻撃コードを確認したとしている。8.1以前は公式の更新がなく、7.4・8.0・8.1向けにはソースへの最小限の修正だけを提供した。Linuxの配布元には事前に修正が渡されている。完全な回避策はなく、更新だけが安全な選択だとしている。10月22日にはIPAとJPCERT/CCが注意喚起を出し、JVNもJVNVU#99905564を公開した。米CISAは公表の時点では悪用を観測していないとしていたが、10月26日に2件を「悪用が確認された脆弱性」の一覧（KEV）に加え、米国の連邦政府機関に10月29日までの対応を求めた。報道によれば、あるセキュリティ研究者がおとり用に運用する修正前のPHP（8.4.26、mod_php）のサーバーで、10月24日に遠隔からのコード実行が成功した。大手クラウド事業者は、公表の4日前の10月17日からおとり用のサーバーで悪用の試みを観測していた。おとり用のサーバー以外で侵入の被害が公表された例は、10月27日時点で当サイトが確認した範囲では見当たらない。レンタルサーバーは主な事業者の多くが適用の完了を知らせたが、KAGOYAなど一部の事業者は完了を知らせていない。10月23日、PHPの開発チームは10月21日の修正版では直っていない3件目の問題（CVE-2026-115560）を公表した。設定とアプリケーションのコードが特定の組み合わせのときだけコード実行につながるもので、開発チームは実際には起きにくいとし、次の定例リリースで修正と詳しい勧告を出す。それまでは session.upload_progress.enabled=0 を設定するよう勧めている。影響を受けるバージョンとCVSSは未公表で、悪用の報告はない。10月29日にphp.netで確認した時点でも、この問題の修正版はまだ出ていない。米CISAは10月28日、Linuxカーネルの脆弱性 CVE-2026-46300 もKEVに加え（米国の連邦政府機関の期限は10月31日）、この2件と組み合わせてPHPのウェブシェルを仕込み、root権限でコマンドを実行できると説明している。当サイトの結論：悪用が確認されたので、PHPを使うサイトは、自分で更新するのか事業者が更新するのかを確かめ、今日のうちに修正版へ上げる。10月17日以降のログで侵入の跡がないかも確かめる。レンタルサーバーでは、各社の完了のお知らせを公式サイトで確かめる。
Rank Math PRO 3.0.123にマルウェアが混入（2026年10月）：対象の版と時間帯、WordPressサイトの運営者がやること
Rank Mathは2026年10月16日（UTC）、有料版のWordPressプラグインRank Math PROのv3.0.123で、10月15日20:02〜10月16日07:12（UTC。日本時間10月16日5:02〜16:12）に入手した一部の利用者のファイルにマルウェアが含まれていたと発表した。プラグインを有効化するとサイトが侵害されるおそれがあり、隠れたバックドアは訪問のたびに作り直されることがあるとしている。同社は該当ファイルを取り除き、問題のないv3.0.124を公開した。WordPress.orgで配布している無料版は対象外。影響を受けた利用者は「限られた数」とされ、件数と、マルウェアが混入した原因は公表されていない。10月20日時点で、発表は10月19日に無料版が対象外である旨の注記が加わったのが最後の更新。当サイトの結論：対象期間内に入手した3.0.123を有効化したサイトは侵害されたものとして扱い、期間より前のバックアップから戻すか、同社の順番どおりにプラグインのフォルダごと削除して調べる。どちらの場合も、サイトから読めた認証情報はすべて変える。
ConoHa WING（GMOインターネット）の一部サーバーへの不正アクセス（426アカウント）：Webサーバー領域のデータが対象、サイト運営者が今日やること
GMOインターネット株式会社は2026年9月20日、レンタルサーバー「ConoHa WING」の一部の収容ホスト（Webサーバー）で、一部の利用者のWebサーバー領域に第三者が不正にアクセスし、不正なプログラムを設置したと発表した。対象は426アカウントで、対象の情報は「お客様のWebサーバー領域に保存されたデータ」。不正アクセスと設置は9月3日に始まり、9月16日に検知、9月18日に原因と影響範囲を特定して不正プログラムを排除した。原因は特定したとしているが、内容は公表していない。会員情報・契約情報・支払い情報は別の環境で管理しており、漏えいはないとしている。Webサーバー領域のデータが外部に持ち出されたかどうかは、発表に書かれていない。対象者には登録メールアドレスへ個別に連絡しており、連絡がない利用者は対象ではないとしている。10月15日時点で続報はない。当サイトの結論：まず個別の連絡が届いているかを確かめ、届いていればその指示に従う。そのうえで、Webサーバー領域に置いていた認証情報（wp-config.phpのデータベースのパスワード、.envのAPIキーなど）は読まれたものとして変え、9月3日以降に増えたファイル・管理者・定期実行を確かめる。
サイトやサーバーが不正アクセスされたか調べる方法：レンタルサーバー・WordPress・VPS別の確認手順と、見つけたときの順番
サイトの侵入確認は『外から見える兆候』と『中に残る痕跡』の両方を見る。兆候＝Search Console の『セキュリティの問題』、検索結果の警告、事業者からの通知、知らない管理者、スマホや検索経由だけのリダイレクト。痕跡＝管理者ユーザー、コアファイルの改変（wp core verify-checksums）、ログイン履歴、authorized_keys、cron、待ち受けポート、最近変更されたファイル。当サイトの視点＝『何も見つからない』は安全の証明にならない。見つけたら、掃除の前に証拠を残し、きれいな端末から認証情報を全部変え、侵入前のバックアップか作り直しで戻し、入口を塞いでから再審査を依頼する。
CVE-2026-87902 — WordPress本体の認証なしファイルインクルード（条件付きRCE）の解説と対応策
WordPress本体（4.7〜7.1.1）の認証なしローカルファイルインクルード（CWE-98）。テーマとサーバー設定の条件がそろうとRCE。修正は9/22（7.1.2ほか各系列）、CISAは9/25にKEV追加。当サイトの結論＝EPSSは3%でも、KEVに載った時点で最優先。更新に加えて、PHPの register_argc_argv を無効にして、RCEに必要なサーバー側の条件もなくす。
CVE-2026-63030 / CVE-2026-60137 — WordPressコアの未認証SQLi→RCE（解説と対応策）
WordPressコアのREST APIバッチエンドポイントのルート混同（CVE-2026-63030・CWE-436）が、WP_Queryのauthor__not_inのSQLインジェクション（CVE-2026-60137・CWE-89）と連鎖し、未認証のSQLi→RCEに至り得る（CVSS 9.8・KEV掲載）。6.9系・7.0系は両者を修正し、6.8.6は60137のみを修正。最も確実な対応は『6.8.6 / 6.9.5 / 7.0.2 以降へ更新』＋侵害確認。WordPress本体の脆弱性なので影響範囲が極めて広く、更新が最優先。
WordPressのセキュリティ対策 — 本番ハードニング実務リファレンス
WordPressは世界最大シェアのため最も狙われるが、侵入経路はほぼ決まっている（プラグイン/テーマの脆弱性・放置更新・弱い管理者・露出した管理画面）。本ページは実務リファレンス：(1)優先度つきハードニング・チェックリスト(P0〜P2) (2)領域別の具体対策＝更新の自動化・プラグイン/テーマ最小化・強い管理者＋2FA・管理画面の露出削減(xmlrpc/REST列挙/ファイル編集)・wp-configと秘密・ファイル権限・HTTPS/バックアップ・PHP/依存の更新 (3)自己検証チェック。攻撃手順は扱わず防御と点検に限定。