米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は連邦機関に対し、最近修正されたWordPressの重大度の高い脆弱性について、攻撃者による悪用が実環境で始まったと警告しました。
この脆弱性は「CVE-2026-119977」として追跡されており、WordPress Coreに存在する重大度の高い欠陥です。原因はTOCTOU（Time-of-check Time-of-use）競合状態で、Picus Securityの研究者Umut Bayram氏が報告しました。
コアのフルパッケージ更新では、予測可能でWebからアクセスできるステージングパスが使われます。このため、認証されていないリモートの攻撃者が、複雑度の高い攻撃ではあるものの、悪用に成功するとサーバー上でコードを実行できる可能性があります。
WordPressのセキュリティチームは10月28日、この問題を修正したWordPress 7.1.4を公開した際、次のように説明しています。「WordPressのアップグレード処理に弱点があり、アップグレード中にリモートコード実行につながる恐れがあります。今回はセキュリティリリースのため、ただちにサイトを更新することを推奨します」
CISAは火曜日、CVE-2026-119977が実際に悪用されていることを確認しました。同庁は、この脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加しています。拘束力のある運用指令（BOD）26-04に基づき、連邦文民行政機関（FCEB）に対して金曜日までにシステムを保護するよう命じました。
CISAは「この種の脆弱性は悪意あるサイバー攻撃者が頻繁に使う攻撃経路であり、連邦政府機関に重大なリスクをもたらします」と警告しています。
BOD 26-04の対象は米連邦機関のみですが、CISAは民間企業を含むすべてのネットワーク防御担当者に対し、サーバーを守るため、この脆弱性への対応を優先するよう呼びかけました。
CISAは、CVE-2026-119977の実環境での悪用について詳しい情報を示していません。一方、WordPressのセキュリティ企業Wordfenceは、週末に更新したアドバイザリーで、「過去24時間で、この脆弱性を狙った攻撃を13,095件ブロックした」と明らかにしました。
WordPressのセキュリティチームは7月にも、WordPress Coreの深刻な脆弱性チェーン（通称wp2shell）を修正しています。このチェーンは、REST APIのバッチルート混同の脆弱性（CVE-2026-63030）とSQLインジェクションの脆弱性（CVE-2026-60137）を悪用するもので、ウェブシェルの設置や、未修正サーバーの乗っ取りに使われる恐れがありました。
wp2shellの公開エクスプロイトは、パッチ公開の翌日に公開されました。その数日後には、攻撃者が未修正のサーバーに侵入し始め、永続的なウェブシェルや悪意あるプラグインを設置しました。
さらに、中国語圏の攻撃者グループが9月、wp2shellのエクスプロイトチェーンを武器化しました。中小企業や政府機関のバックエンドデータベースに保存された、1万8,500件を超えるレコードから機密データを盗み出しています。
