WordPress本体「WordPress」にリモートコード実行の脆弱性（CVE-2026-119977）

CVSS 8.1 HIGH 未ログインで悪用可能

対象	WordPress 本体 WordPress
影響バージョン	4.7.0 〜 4.7.38、4.8.0 〜 4.8.33、4.9.0 〜 4.9.34、5.0.0 〜 5.0.30、5.1.0 〜 5.1.27、5.2.0 〜 5.2.29、5.3.0 〜 5.3.26、5.4.0 〜 5.4.24、5.5.0 〜 5.5.23、5.6.0 〜 5.6.22、5.7.0 〜 5.7.20、5.8.0 〜 5.8.18、5.9.0 〜 5.9.19、6.0.0 〜 6.0.17、6.1.0 〜 6.1.15、6.2.0 〜 6.2.14、6.3.0 〜 6.3.13、6.4.0 〜 6.4.13、6.5.0 〜 6.5.13、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	CVE-2026-119977
種類	リモートコード実行（Time-of-check Time-of-use (TOCTOU) Race Condition）
悪用される確率（EPSS）	0.60%（全脆弱性の上位 51%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress本体の4.7〜7.1.3には、本体を更新している最中に限り、ログインしていない第三者がサーバー上で不正なプログラムを実行できる恐れがあります。悪用されるとサイトの改ざんや情報流出につながります。

想定される被害と条件

サイトの改ざん、不正なファイルの設置、マルウェアの埋め込みが行われる恐れがある
データベース内の会員情報や問い合わせ内容などが盗まれる恐れがある
サーバー自体が乗っ取られ、迷惑メール送信や他サイト攻撃の踏み台にされる恐れがある
被害が起きるのはWordPress本体の更新処理が実行されている短い時間帯に限られる
攻撃にはログインが不要だが、タイミングを合わせる必要があるため成功の難易度は比較的高い

今日やること

WordPress本体を7.1.4以上に更新し、更新作業中はメンテナンスモードやアクセス制限でサイトへの外部アクセスを絞ってください。

すぐに更新できない場合

すぐに更新できない場合は、本体の自動更新や管理画面からの更新を控えてください。更新する際は、WAFやBasic認証、IP制限などで更新中の外部アクセスを遮断するか、保守業者やサーバー会社に相談してください。

更新後に確認すること

管理画面の「ユーザー」で、身に覚えのない管理者アカウントが追加されていないか確認する
「プラグイン」「外観 > テーマ」に、見覚えのないプラグインやテーマが追加されていないか確認する
サーバーのファイルマネージャーやFTPで、更新日時が更新作業の時刻付近の不審なPHPファイル（特にwp-contentやuploads内）が無いか確認する
セキュリティプラグインやサーバー会社のウイルススキャンでマルウェア検査を実施する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/4b4da0cf-d9f4-47c4-a0e8-6c4dc5a6f250?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。