ハッカーが、WordPressコアのレースコンディションの脆弱性に対し、24万件を超える攻撃を仕掛けています。この脆弱性を突かれると、アップグレード中のWebサイトで、認証なしのリモートコード実行を許す恐れがあります。
Wordfenceの研究者István Márton氏によると、探索行為はWordPressがセキュリティパッチを公開した2026年10月28日に始まりました。
この脆弱性は「CVE-2026-119977」として追跡されており、アップグレード中に発生するリモートコード実行の問題です。パッチ未適用の4.7から7.1.3までの各ブランチが影響を受け、CVSSスコアは8.1です。
攻撃の核となるのは、コアのフルパッケージ更新時に作成される、予測可能でWebからアクセスできる一時展開用ディレクトリです。攻撃者は/wp-content/upgrade/wordpress-6.9.11/setup-config.phpなどのインストーラスクリプトにHTTPリクエストを送り、クリーンアップ前に展開済みのインストールファイルへ到達しようとします。
攻撃が成功すると、一時展開されたインストールを完了させ、管理者アカウントを作成し、悪意あるPHPをアップロードできます。これにより、サーバーサイドでのコード実行、永続的なバックドア、コンテンツの改ざん、機密データの窃取に向けた足がかりが得られます。しかも、対象の本番サイトに対する認証情報も認証済みセッションも必要ありません。
この攻撃は、乗っ取った管理者セッションを通じて悪意あるPHPプラグインを使うキャンペーンとは異なります。ファイルシステムが一時的に露出する間に、単体のインストーラファイルを狙うものです。
攻撃が成立するには、一時展開ディレクトリが存在し、外部からのアクセスを許可し、インストール手順を完了できるだけの時間残っている必要があります。
CVEレコードは、この欠陥をタイミングの競合状態であるCWE-367（TOCTOU：チェック時と使用時の競合）に分類しています。こうしたタイミング上の条件があるため、機密性・完全性・可用性への影響が深刻になり得る一方で、攻撃の複雑さは高いとされています。
Wordfenceによると、探索が最も活発だったのは10月29日から11月1日にかけてです。10月30日だけで7万4,000件を超える試行をブロックしました。
主な送信元は、7万4,900件超のリクエストを送った103.59.160.171、4万400件超の2001:df1:e8c0::106b、3万4,600件超の51.89.103.78です。これらの数字はブロックしたリクエストの件数であり、侵害が確認されたWebサイトの数ではありません。
自動スキャナーは予測可能な一時展開パスに繰り返しリクエストを送っています。ただし、実際に侵害するには、短いアップグレードの時間帯に当たり、一時ファイルが消える前に攻撃を完了させなければなりません。トラフィックを発生させるだけの場合と比べ、侵害を成功させるのは格段に困難です。
管理者は、アクセスログで/wp-content/upgrade/配下のPHPファイル、特にsetup-config.phpへの外部からのリクエストがないか確認してください。正規のアップグレードでは、こうしたリクエストは発生しません。
あわせて、残存している一時展開ディレクトリ、身に覚えのないプラグイン、不正な管理者アカウント、改ざんされたPHPファイルも調査する必要があります。
別途確認されている管理者アカウントのバックドアは、インシデント対応でアカウントとプラグインの一覧確認が重要な理由を示しています。ただし、これらのキャンペーンが今回の脆弱性の悪用だという証拠はありません。
不審なログが見当たらなくても、サイトが侵害されていないとは言い切れません。WordPressは、バージョン7.1.4か、該当ブランチに対応するパッチ適用版をただちに導入するよう推奨しています。
影響を受ける環境を更新する場合も、脆弱なアップグレード処理が一度は実行されます。そのため管理者は、先に/wp-content/upgrade/配下のPHPファイルへのWebアクセスを遮断しておくとよいでしょう。
一時展開されたスクリプトはWordPressを読み込まないため、Wordfenceでの防御には、Extended Protectionモードで動作する最適化済みファイアウォールが必要です。有料版向けの保護は10月28日に提供済みで、無料版ユーザーには11月27日にルールが適用されます。パッチを適用すれば、以後のアップグレードで根本的な露出がなくなります。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/over-240000-attacks-wordpress-core/
