CISA、WordPressコアのコード実行脆弱性を悪用した攻撃に警告

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、WordPressコアの脆弱性について、実際に悪用されている証拠があるとして、「既知の悪用された脆弱性（KEV）カタログ」に追加しました。

サイバーセキュリティニュースプラットフォーム

この脆弱性は「CVE-2026-119977」として識別されています。認証されていない攻撃者が、特定のソフトウェアアップグレード期間中にサーバー側でコードを実行できる恐れがあります。

CISAは11月3日、この脆弱性をカタログに追加し（2026年）、対象となる連邦文民機関に対して11月6日までの対処期限を設定しました。CVSS v3.1スコアは8.1で、影響が大きくなり得ることを示しています。ただし、悪用には正確なタイミングが必要です。

WordPressコアのコード実行脆弱性

公開されたCVEレコードによると、この脆弱性は4.7から7.1.3までのWordPressの各ブランチに影響します。原因はサードパーティ製プラグインやテーマの脆弱性ではありません。フルパッケージ形式のコアアップグレード時に作成される、予測可能でWebからアクセス可能なステージング用パスにあります。

影響を受けるアップデートの際、WordPressはインストール用ファイルをwp-content/upgrade配下の一時ディレクトリに展開します。これらのディレクトリが公開アクセスとPHP実行を許可している場合、攻撃者はクリーンアップが完了する前に、ステージングされたインストーラーsetup-config.phpへ到達できます。この状態を突かれると、有効なWordPress認証情報がなくてもPHPコードを実行される恐れがあります。

この問題は、TOCTOU（Time-of-check to time-of-use）競合状態、つまりCWE-367に分類されています。最大の特徴は、リソースの状態が検証から使用までの間に変化し得ることです。そのため、安全に処理できるという前提が崩れます。今回の悪用の機会は、アップグレードの処理中に生じます。

これ以前のWordPressの悪用に関する報道では、24時間以内に5万8,693件の攻撃試行がブロックされたと記録されています。この数字は悪用の試行を示すもので、同数のWebサイトが実際に侵害されたわけではありません。

WordPressは、10月28日にリリースしたバージョン7.1.4で、このアップグレード時の弱点に対処しました。報告者のUmut Bayram氏が謝辞を受けています。ベンダーは直ちにアップデートするよう推奨しました。あわせて、WordPress 4.7までの対象ブランチにセキュリティバックポートを提供すると発表しており、準備でき次第リリースするとしています。

セキュリティソフトウェア

セキュリティリリースの分析によると、ステージング用ディレクトリのランダム化、インデックスガード、ステージングされた設定データの安全でない昇格に対する制限などの対策が盛り込まれています。管理者は、自動アップデートが正常に完了したと思い込まず、インストールされているバージョンを必ず確認してください。

CISAのエントリーはさらに、BOD 26-04に基づくフォレンジックトリアージを求めています。ランサムウェアとの関連は「不明」とされています。運用者はベンダーの緩和策に従い、最近のアップグレード前後に不審な動きがなかったか調査する必要があります。

以前報じられたWordPressのSQLインジェクション攻撃とは異なり、今回の脆弱性はアップグレード用の一時的な基盤を狙っています。このため、対策やインシデントの調査では、アップデート経路の露出が焦点になります。

SOCにアラートのコンテキストを提供し、インシデントを迅速に阻止しましょう。16K SOCの脅威インテリジェンスを統合。