Hokanewsの報道によると、WordPressの重大なセキュリティ脆弱性により、攻撃者がログインなしでウェブサイトを掌握できる可能性があります。影響を受けるのはバージョン4.7〜7.1.3で、脆弱性はプラットフォームのアップデート処理中、インストーラーが公開フォルダ経由で一時的にアクセス可能になる短い時間帯を狙ったものです。

Coin Bureauが共有した情報によると、WordPressは全ウェブサイトの39.5%で稼働しており、これはおよそ10サイト中4サイトが同じ基盤ソフトウェアで動いていることを意味します。この脆弱性は単一のプラグインやテーマではなくプラットフォーム本体のアップデート処理に関わるため、その規模ゆえに報告された弱点の影響範囲は potentially 広範に及ぶ可能性があります。懸念の中心は、完全アップデート中に攻撃者がウェブサイトのサーバー上で直接自身のコードを実行できる可能性であり、それはサイト自体の不正な掌握につながり得ます。

脆弱性の仕組み

WordPressの完全アップデート中、プラットフォームはインストーラーを公開アクセス可能なフォルダに一時的に配置します。Coin Bureauによると、この短い時間帯にその場所へ到達した攻撃者は、サーバー上で自身のコードを実行できます。この露出はアップデートの進行中にのみ存在するため、リスクは恒久的に開いた入口ではなく、その一時的な配置期間に関わるものです。

この脆弱性は、攻撃者が対象のWordPressサイトにログインする必要がありません。その代わり、攻撃はアップデート処理中に生じる一時的な露出を利用し、ウェブサイトの不正なコントロールを可能にする可能性があります。

脆弱性はWordPressのバージョン4.7から7.1.3までのすべてに影響します。Coin Bureauが報じた情報によると、この範囲は2016年12月に遡る、約10年分のリリースをカバーしています。これほど広い範囲であるため、最新バージョンだけでなく、年齢の異なるさまざまなインストールが影響範囲に含まれることになります。

Wordfenceが脆弱性CVE-2026-119977を報告

セキュリティ企業Wordfenceがこの問題を報告し、現在はCVE-2026-119977という識別子で追跡されています。CVEの名称は、公開されたソフトウェア脆弱性を整理するために用いられる標準的な識別システムで、研究者やサイト運営者に同一の脆弱性についての共通の参照点を提供します。この脆弱性はファイアウォール保護の活動も促しており、Wordfenceは保護機能の稼働開始からわずか9分後に最初のブロックを記録しました。

報じられたタイミングは、ファイアウォールが保護機能の有効化直後にこの脆弱性に関連する活動のブロックを開始したことを示しています。ただし、報告では攻撃の試行回数や影響を受けたウェブサイトの数は特定されていません。この2つの数字は、実際にどの程度の活動が attracted されたかを示すものとなるため、この脆弱性をめぐる主な未解明の点となっています。

影響範囲にバージョン4.7〜7.1.3が含まれることから、この脆弱性はWordPressの幅広いリリースに関わるものです。完全アップデート中のインストーラーの一時的な露出が、報告で述べられている具体的な弱点です。

元の報道は、Hokanewsのテクノロジー・ブロックチェーンライターであるVictoria Haleによるものです。