【11/6】WordPress脆弱性 CVE-2026-119977 とは？悪用を確認・修正版 7.1.4 と影響の確かめ方・対策
2026年10月28日、WordPressの開発チームがセキュリティリリース WordPress 7.1.4 を公開しました。直した不具合の一つが、WordPress本体を更新している最中に、ログインしていない攻撃者がサーバー上でコードを実行できるおそれがある脆弱性（CVE-2026-119977）です。
11月3日には、米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）が、この脆弱性を「実際に悪用が確認された脆弱性」の一覧（KEV）に加えました。影響を受けるのは WordPress 4.7〜7.1.3 と、ほぼすべての現役の版です。
この記事では、WordPressで会社のサイトを運用している担当者に向けて、何が起きたのか、自社のサイトが影響を受けるのか、今日なにをすればよいのかを、2026年11月6日時点の公式情報で整理します。
結論：WordPressを修正版（7.1.4、または使っている系統の修正版）に更新してください。 修正版は4.7系まですべての系統に出ています。自動更新を止めているサイトや、制作会社に任せたままのサイトは、管理画面で版を確かめてください。
社内に担当者がいない・制作会社に任せている方へ：WordPressのサイトを持つ会社が「何を確かめ、誰に何を頼めばよいか」は、会社のWordPressサイトで確かめること（チェックリスト）にまとめています。制作会社・保守会社への確認の文面も載せています。
WordPressの版の確認、修正版への更新、自動更新の設定の見直し、更新後の改ざんの確認を、エンハンスドが代わりに行います。制作会社と連絡が取れないサイトや、古い版のまま止まっているサイトもご相談ください。
CVE-2026-119977 の概要：何が起きたのか
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-119977 |
| 対象 | WordPress 本体（プラグイン・テーマではない） |
| 影響を受ける版 | WordPress 4.7.0〜7.1.3（系統ごとの範囲は下の表） |
| 修正版 | 7.1.4（7.1系）、7.0.8（7.0系）、6.9.11（6.9系）ほか、4.7.39 まで全系統 |
| 内容 | 本体を一式のパッケージで更新する間、展開先のフォルダの場所が予測でき、Webから開ける。この隙を突いてサーバー上でコードを実行される（RCE）おそれ |
| 攻撃の条件 | ログイン不要。ただし狙えるのは本体の更新が動いている間だけ |
| 深刻度 | CVSS 3.1 で 8.1（High、Wordfence の評価）。WordPress 側のアドバイザリは「Low」 |
| 弱点の種類 | CWE-367（確認と使用の間の競合状態、TOCTOU） |
| 悪用 | 米CISAが2026年11月3日に KEV（悪用が確認された脆弱性の一覧）に追加。米政府機関の対応期限は11月6日 |
| 発見者 | Umut Bayram 氏 |
WordPressの公式発表は、7.1.4 で直した22件の問題の一つとして「本体の更新中の競合状態により、リモートでコードが実行されるおそれ」を挙げ、セキュリティリリースなので直ちに更新するよう呼びかけています。
WordPress が GitHub に出したアドバイザリ（GHSA-4w3m-c66w-69mg）によると、一式のパッケージを使う本体の更新では、新しいファイルを Web から見える場所（更新用のフォルダの中）の予測できるフォルダに展開していました。展開の処理との「競争」に勝った攻撃者は、ログインしていなくてもコードを実行できる、という仕組みです。
深刻度の評価が分かれている点について
CVE を登録した Wordfence は CVSS 3.1 で 8.1（High） と評価しています。一方、WordPress 自身の GitHub のアドバイザリでは深刻度を Low としています。CVSS の内訳では「攻撃の難しさ：高い（AC:H）」とされており、更新の最中という短い時間を狙う必要があるためです。
ただし、CISA は実際の悪用を確認して KEV に載せています。評価が「Low」だからといって後回しにしてよい、とは言えません。また、7.1.4 にはこのほかにも21件の修正が含まれています。
影響を受けるWordPressの版と修正版
影響を受けるのは WordPress 4.7.0 から 7.1.3 までです。WordPress は、最新の系統（7.1）に加えて、4.7 系までのすべての系統に修正を移植（バックポート）し、2026年10月28日に各系統の修正版を出しています。
| 系統 | 影響を受ける版 | 修正版 |
|---|---|---|
| 7.1 | 7.1.0〜7.1.3 | 7.1.4 |
| 7.0 | 7.0.0〜7.0.7 | 7.0.8 |
| 6.9 | 6.9.0〜6.9.10 | 6.9.11 |
| 6.8 | 6.8.0〜6.8.11 | 6.8.12 |
| 6.7 | 6.7.0〜6.7.10 | 6.7.11 |
| 6.6 | 6.6.0〜6.6.10 | 6.6.11 |
| 6.5 | 6.5.0〜6.5.13 | 6.5.14 |
| 6.4 | 6.4.0〜6.4.13 | 6.4.14 |
| 6.3 | 6.3.0〜6.3.13 | 6.3.14 |
| 6.2 | 6.2.0〜6.2.14 | 6.2.15 |
| 6.1 | 6.1.0〜6.1.15 | 6.1.16 |
| 6.0 | 6.0.0〜6.0.17 | 6.0.18 |
| 5.9 | 5.9.0〜5.9.19 | 5.9.20 |
| 5.8 | 5.8.0〜5.8.18 | 5.8.19 |
| 5.7 | 5.7.0〜5.7.20 | 5.7.21 |
| 5.6 | 5.6.0〜5.6.22 | 5.6.23 |
| 5.5 | 5.5.0〜5.5.23 | 5.5.24 |
| 5.4 | 5.4.0〜5.4.24 | 5.4.25 |
| 5.3 | 5.3.0〜5.3.26 | 5.3.27 |
| 5.2 | 5.2.0〜5.2.29 | 5.2.30 |
| 5.1 | 5.1.0〜5.1.27 | 5.1.28 |
| 5.0 | 5.0.0〜5.0.30 | 5.0.31 |
| 4.9 | 4.9.0〜4.9.34 | 4.9.35 |
| 4.8 | 4.8.0〜4.8.33 | 4.8.34 |
| 4.7 | 4.7.0〜4.7.38 | 4.7.39 |
出典：WordPress の GitHub アドバイザリ GHSA-4w3m-c66w-69mg、WordPress 公式「Version 7.1.4」、NVD。2026年11月6日確認
WordPress 4.6 以前には、公式のセキュリティ更新はもう出ません。また、WordPress 公式は「積極的にサポートしているのは最新版だけ」としています。古い系統の修正版は、あくまで移行までのつなぎと考えてください。
自社のサイトが影響を受けるか確かめる方法
1. 管理画面でWordPressの版を確かめる
WordPress の管理画面にログインし、左のメニューの「ダッシュボード」→「更新」を開くと、今の WordPress の版が表示されます。WordPress 5.2 以降なら、「ツール」→「サイトヘルス」→「情報」の「WordPress」の欄でも確かめられます。
上の表で、使っている系統の修正版と同じか、それより新しければ今回の脆弱性は直っています。たとえば 7.1 系なら 7.1.4、6.9 系なら 6.9.11 以上です。
2. 本体の自動更新が止められていないか確かめる
WordPress 公式によると、自動の更新（バックグラウンド更新）に対応しているサイトには、7.1.4 が自動で配られ始めています。逆に言うと、自動更新を止めているサイトには届きません。サーバーの wp-config.php に次のような設定があると、本体の自動更新が止まっています。
define( 'AUTOMATIC_UPDATER_DISABLED', true ); // すべての自動更新を止める
define( 'WP_AUTO_UPDATE_CORE', false ); // 本体の自動更新を止めるWordPress 公式は、自動更新を止めることを「強く勧めない」としています。WP_AUTO_UPDATE_CORE を 'minor' にしておけば、7.1.3 → 7.1.4 のような小さな更新（マイナーリリース）は自動で入ります。保守用のプラグインや、レンタルサーバーの管理画面の「自動更新」の設定で止めている場合もあるので、あわせて確かめてください。
3. 制作会社・保守会社に任せている場合に聞くこと
- 今の WordPress の版は何か（使っている系統の修正版以上か）
- 本体の自動更新は有効か。止めているなら、その理由と、今回はいつ手動で更新するか
- 前回の更新日と、更新の前にバックアップを取っているか
修正版への更新の手順
- バックアップを取る：データベースと WordPress のすべてのファイル（
.htaccessを含む）を保存し、復元に使えることを確かめます（公式の手順でも、更新の前のバックアップを必須としています）。 - 管理画面から更新する：「ダッシュボード」→「更新」を開き、「今すぐ更新」を押します。
- 版を確かめる：更新が終わったら、もう一度「更新」の画面やサイトヘルスで、修正版になったことを確かめます。
- サイトの表示を確かめる：トップページ・問い合わせフォーム・よく見られるページが正しく表示され、動くかを確かめます。
7.1.4 の動作には PHP 7.4 以上が要ります。PHP が古いために古い系統の WordPress を使っている場合も、その系統の修正版（上の表）までは上げられます。PHP 自体の古さについては、PHPの脆弱性 php2shell の記事もご覧ください。
すぐに更新できないときは
2026年11月6日時点で、WordPress 公式は更新以外の回避策（設定の変更など）を示していません。CISA も、対応として「ベンダーの指示に従って対策を当てる。対策が無い場合は製品の使用をやめる」としています。
- まずは修正版への更新を最優先にしてください。修正版は全系統に出ています
- どうしても更新できない事情（改造した本体、動かなくなるプラグインなど）があるなら、修正版に上げられるまでの間、サイトを止めることも選択肢になります
- 非公式の情報として、Webサーバーの設定で更新用のフォルダへのアクセスを拒むといった方法も出回っていますが、WordPress 公式の案内ではありません。行う場合は、サイトを管理している会社と相談のうえで、更新までのつなぎとして扱ってください
なお、CISA は KEV のこの項目で、米政府機関に対して「フォレンジックのトリアージ（侵害を受けていないかの初期調査）」も求めています。11月6日時点で、公式の侵害の痕跡（IoC）は公開されていません。更新が遅れたサイトや、心当たりのないファイル・管理者アカウントが見つかったサイトは、専門家に調査を依頼してください。
7月の wp2shell（CVE-2026-60137・CVE-2026-63030）との違い
2026年7月には、WordPress の別の脆弱性2件の組み合わせ「wp2shell」が問題になり、IPA も注意喚起を出しました。今回の CVE-2026-119977 はそれとは別の脆弱性です。7月に wp2shell の対策をしたサイトも、今回あらためて更新が必要です。
| 項目 | 今回（CVE-2026-119977） | 7月の wp2shell |
|---|---|---|
| 仕組み | 本体の更新中の競合状態（展開先が予測でき、Webから開ける） | REST API のバッチの経路の取り違え（CVE-2026-63030）と、WP_Query の SQL インジェクション（CVE-2026-60137）の組み合わせ |
| 狙える時 | 本体の更新が動いている間だけ | いつでも |
| 影響を受ける版 | 4.7.0〜7.1.3（ほぼ全系統） | 6.9.0〜6.9.4、7.0.0〜7.0.1（CVE-2026-60137 は 6.8.0〜6.8.5 も） |
| 修正版 | 7.1.4・7.0.8・6.9.11 ほか、4.7.39 まで | 7.0.2・6.9.5・6.8.6 |
| KEV への追加 | 2026年11月3日 | 2026年7月21日（米国時間） |
| 国内の注意喚起 | 11月6日時点で JPCERT/CC・IPA ともに無し | IPA が7月22日に掲載 |
エンハンスドが、バックアップから修正版への更新、表示の確認、自動更新の設定の見直し、侵害の痕跡の調査までを代わりに行います。古い版のまま改造されたサイトや、制作会社が解散して保守の窓口が無いサイトもご相談いただけます。
レンタルサーバー各社の案内
各社の公式の告知を2026年11月6日に確認できたものだけを載せています。公式の告知を確認できなかった会社は載せていません。
| 会社・サービス | 案内の内容 |
|---|---|
| お名前.com レンタルサーバー | 10月29日に 7.1.4 の案内を掲載。自動更新（マイナーアップデート）が有効なサイトは順次 7.1.4 に自動で更新される。自動更新を無効にしている場合は、バックアップを取ったうえで管理画面の「更新」から手動で更新するよう案内（お名前.com） |
レンタルサーバーの多くは、WordPress の本体の更新を利用者の設定（WordPress の自動更新、またはサーバーの管理画面の自動更新）に任せています。サーバー会社が対応してくれるとは限らないので、自社のサイトの版は自分で確かめるのが確実です。
CVE-2026-119977 の時系列【11月6日時点】
日付は各発表の表記によります（海外の発表は協定世界時や米国の日付のため、日本時間では翌日になることがあります）。
| 日付 | 出来事 |
|---|---|
| 10月28日 | WordPress 7.1.4 を公開。同じ日に 7.0.8・6.9.11 など 4.7.39 までの全系統の修正版も公開（WordPress公式） |
| 10月29日 | WordPress が GitHub のアドバイザリ GHSA-4w3m-c66w-69mg を公開（GitHub）。お名前.com レンタルサーバーが 7.1.4 の案内を掲載 |
| 10月31日 | Wordfence が CVE-2026-119977 を登録・公開（CVSS 8.1）（CVE） |
| 11月3日 | 米CISA が KEV に追加。米政府機関の対応期限は11月6日（CISA） |
| 11月6日 | JPCERT/CC・IPA にはまだ注意喚起が無い（確認時点） |
よくある質問
CVE-2026-119977 とは何ですか？
WordPress 本体の 4.7〜7.1.3 にある脆弱性です。本体を一式のパッケージで更新している間に、ログインしていない攻撃者がサーバー上でコードを実行できるおそれがあります。2026年10月28日の WordPress 7.1.4 などで修正され、米CISA が11月3日に「悪用を確認した脆弱性」の一覧に加えました。
WordPress 7.1.4 に更新すれば大丈夫ですか？
今回の脆弱性は直ります。7.1 系以外を使っている場合は、その系統の修正版（7.0.8、6.9.11 など）でも直ります。ただし、プラグインやテーマ、PHP の脆弱性は別なので、それぞれ最新の状態に保ってください。
自動更新が有効なら、何もしなくていいですか？
自動更新が正しく動いていれば、修正版が自動で入ります。ただ、設定やサーバーの都合で自動更新が失敗していることもあります。管理画面の「ダッシュボード」→「更新」で、修正版になっているかを一度確かめてください。
更新の最中だけが危ないなら、更新しないほうが安全ですか？
いいえ。更新しないままだと、7.1.4 で直ったほかの21件の脆弱性も残ります。WordPress 公式も CISA も、修正版への更新を対策としています。
7月に wp2shell の対策をしました。今回も対応が必要ですか？
必要です。wp2shell（CVE-2026-60137・CVE-2026-63030）とは別の脆弱性で、修正版も別です。7月の修正版（7.0.2・6.9.5・6.8.6）のままでは、今回の脆弱性は直っていません。
深刻度は「High」と「Low」のどちらが正しいのですか？
評価した組織によって違います。CVE を登録した Wordfence は CVSS 3.1 で 8.1（High）、WordPress 自身のアドバイザリは Low としています。攻撃には更新の最中という短い時間を狙う必要がありますが、CISA が実際の悪用を確認しているので、早めに更新してください。
まとめ
- WordPress 本体 4.7〜7.1.3 に、更新の最中にログインなしでコードを実行されるおそれのある脆弱性（CVE-2026-119977、CVSS 8.1）が見つかった
- 米CISA が11月3日に悪用を確認。修正版は 7.1.4、ほかの系統も 7.0.8・6.9.11 から 4.7.39 まで出ている
- 管理画面で版を確かめ、修正版でなければバックアップを取って更新する
- 自動更新を止めているサイトには修正版が届かない。
wp-config.phpや保守の設定を確かめる - 7月の wp2shell とは別の脆弱性。7月に対策したサイトも更新が必要
WordPress に限らず、Webサイト全体で何をどの順に守ればよいかは、Webサイト・ホームページのセキュリティ対策ガイドにまとめています。
参考資料
- WordPress 7.1.4 - WordPress.org（公式の発表）
- Version 7.1.4 - WordPress.org（修正の一覧と各系統の修正版）
- GHSA-4w3m-c66w-69mg - WordPress の GitHub アドバイザリ
- CVE-2026-119977 - CVE（登録：Wordfence）
- CVE-2026-119977 - NVD
- Known Exploited Vulnerabilities Catalog - CISA
- Upgrading WordPress - WordPress Developer Resources（自動更新の設定・更新前のバックアップ）
- WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell） - IPA
- WordPress 7.1.4（セキュリティリリース）のご案内 - お名前.com レンタルサーバー
次に読む
この記事に関わるエンハンスドの事業
AI活用・無料相談
脆弱性への対応、社内だけで抱えていませんか
PHP や WordPress などの脆弱性が見つかったとき、影響があるかの確認から、更新・移行、侵害されていないかの調査まで、エンハンスドがお手伝いします。
- 影響があるかの確認
- PHP・WordPress などの更新と移行
- 侵害されていないかの調査
ご相談は何度でも無料です。まずはお気軽にお問い合わせください。