WordPress本体の更新中を狙う攻撃が現実に、米CISAが悪用確認で登録…自社は大丈夫か

　米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は11月3日、WordPress本体の脆弱性「CVE-2026-119977」を、実際の攻撃での悪用が確認された脆弱性のカタログ「KEV」に追加したと明らかにした。

　CISAは、この欠陥を「TOCTOU（確認時点と使用時点のずれ）型の競合状態」の脆弱性と位置付けている。悪用の証拠に基づいて登録したとしており、あらゆる組織にKEV登録済みの脆弱性を優先して直すよう促した。

　WordPress開発チームの説明によると、問題はWordPress本体を完全なパッケージで更新する際に起きる。新しいファイルの展開先がWebから到達できる領域にあり、場所も予測できる。そこで認証を持たない攻撃者が展開処理との競争に勝つと、遠隔から任意のコードを実行できる恐れがあるという。つまり、更新作業をしている最中にだけ突かれる弱点だ。

　開発チームは10月28日、セキュリティリリース「WordPress 7.1.4」を公開した。更新処理の弱点のほか、複数のクロスサイトスクリプティング（XSS）の問題なども修正している。管理画面の「更新」から適用でき、自動更新に対応するサイトでは更新が自動で始まるという。

　影響を受けるのは、7.1.0～7.1.3に加え、7.0.0～7.0.7、6.9.0～6.9.10など、4.7までの各ブランチだ。修正は、現在セキュリティ修正の対象となっているすべてのブランチに移植された。修正版は、7.0系が7.0.8、6.9系が6.9.11、4.7系が4.7.39となる。

　開発チームは、この更新はセキュリティリリースであるため、直ちに更新するよう勧めている。WordPressはWebサイトの構築基盤として広く使われており、自社サイトやオウンドメディアを運営する企業は、使っているバージョンの確認が急務となる。