WordPressのセキュリティ脆弱性が、ウェブサイトのアップデート処理中に攻撃者によって標的にされています。サイバーセキュリティ企業Wordfenceは11月6日時点で24万回を超える悪用試みをブロックしており、米国の規制当局は連邦機関に修正の期限を設けました。CVE-2026-119977として追跡されているこの脆弱性は、弱いパスワードや古いプラグインには依存していません。その代わり、WordPressが特定のメジャーソフトウェアアップグレードを処理する方法に潜んでいます。

これらのアップグレードの際、WordPressはインストールファイルを一瞬、公開アクセス可能なフォルダに展開します。この窓は数秒しか続きませんが、まさにその短い瞬間こそ攻撃者が狙っているものです。

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

攻撃の仕組み

適切なタイミングでこれらのファイルに到達した攻撃者は、悪意あるPHPコードを実行できる可能性があります。まずサイトにログインする必要はなく、弱いパスワードや古いプラグインもこの悪用には関与しません。攻撃が成功すると、バックドアの設置、ウェブサイトコンテンツの改ざん、不正な管理者アカウントの作成、機密情報の窃取が可能になる恐れがあります。認証情報を必要としない脆弱性は、強固なパスワード、二要素認証、プラグインの衛生管理といった通常のログイン防御が一切機能しないため、Web脆弱性の中で最も深刻な種類に数えられています。

この脆弱性のCVSS深刻度スコアは10点満点中8.1で、標準的な0から10の脆弱性スコールの中で高リスクカテゴリに位置します。Wordfenceによると、この脆弱性はWordPressバージョン4.7から7.1.3に影響し、その範囲はほぼ10年分のリリースをカバーしています。W3TechsによればWordPressは世界の全ウェブサイトの約39.5%で稼働しているため、潜在的に露出しているサイトの数は膨大です。ソフトウェアのコアにおける一つの脆弱性が、修正が適用されるまで、ブログ、メディア、企業を同じリスクプールに入れてしまうのです。

Wordfenceによると、攻撃者は10月28日、WordPressがセキュリティアップデートをリリースしたのと同じ日に、この脆弱性の標的化を開始しました。ソフトウェア業界全体で、公開修正のリリースは攻撃者にとっての開始シグナルになり得るとされており、パッチは修復する弱点を露呈させることがあるため、セキュリティチームが管理者に定期的なスケジュールではなく即時のアップデートを求める一因となっています。初期の監視では約21時間で1万8,500件を超える不審なリクエストが検出され、その後も数は着実に増加しました。11月6日までに、Wordfenceのファイアウォールは24万回を超える悪用試みをブロックしました。最も多かった日は10月30日で、7万4,000件を超える悪意あるリクエストがブロックされました。

研究者たちはまた、攻撃者が長期間にわたりサイトを繰り返し調査し、インストールファイルが公開アクセス可能になる短いアップデート窓を待っている様子も観察しています。ブロックされたリクエストは確認済みのハッキングを意味するものではありません。悪用には正確なタイミングが必要であり、サイトの乗っ取りはリクエストの送信よりはるかに困難です。それでも、トラフィックの量は攻撃者の強い関心を示しています。

修正、期限、サイト運営者へのアドバイス

WordPressは10月28日にバージョン7.1.4をリリースしました。このリリースはこの脆弱性に加え、いくつかの他のセキュリティ問題も修正しており、以前のサポート対象ブランチ向けのパッチも提供されているため、レガシーバージョンを使用している管理者も修正を適用できます。

11月3日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)はこの脆弱性を既知の悪用済み脆弱性カタログ(実際に悪用されていることが確認されたバグ専用のリスト)に追加し、連邦民間機関に11月6日までの修正を求めました。カタログへの登録は勧告ではなく義務です。CISAの拘束力ある運用指令22-01に基づき、連邦民間機関は各バグに割り当てられた期限までに列挙された脆弱性を remediate(是正)することが義務付けられています。CISAはこの脆弱性が実際に悪用されていることを確認しています。

研究者たちは、依然として脆弱なサイトにとっての落とし穴も指摘しました。古い未修正のソフトウェアがアップグレードの最初のステップを処理するため、サイトは脆弱性を修正するまさにそのアップデートをインストールしている間も露出したままになり得るのです。Wordfenceは、アップデートを開始する前に/wp-content/upgrade/ディレクトリ内のPHPファイルへのウェブアクセスをブロックすることを推奨しています。

同社はすでにPremium、Care、Response顧客向けにファイアウォール保護を追加しており、無料プラグインのユーザーには11月27日に同じ保護が提供される予定です。管理者は、アップデートが完了したことを確認し、サーバーログを確認し、管理者アカウントに不正な変更がないかを見直すよう指示されています。

報道によると、WordPress上で運営されている暗号資産関連企業は追加のリスクに直面しています。取引所、ブロックチェーンプロジェクト、暗号資産ニュースサイトは、ウェブサイトの改ざんやページへのフィッシングリンク注入に見舞われる可能性があります。この脆弱性はブロックチェーンネットワークやウォレットに直接影響するものではありませんが、ハッキングされたサイトは訪問者を騙してウォレットを接続させたり、偽のトランザクションを承認させたりする可能性があります。暗号資産企業にとって、チェーンの前にあるウェブサイトは運用セキュリティの一部であるという教訓です。

11月6日の時点で、Wordfenceはこの脆弱性を悪用しようとする24万回を超える試みをブロックしており、管理者はWordPress 7.1.4をインストールし、推奨されるディレクトリ保護を適用し、その後にサイトを検証するよう強く求められています。カレンダーに刻まれた日付、すなわち11月6日の連邦機関向けパッチ期限と11月27日の無料プラグインユーザーへのファイアウォール保護の提供開始は、対応が進む中で注視すべき可視的なチェックポイントであり、Wordfenceによるブロック数の継続的なカウントとともに動向が注目されます。