WordPress 本体に更新中のコード実行の脆弱性（CVE-2026-119977）: 7.1.4 で修正、更新の最中が狙われるおそれ

WordPress 本体（コア）に、更新（アップグレード）のあいだだけ起きるリモートコード実行の脆弱性 CVE-2026-119977 が公開されました。GitHub Advisory の深刻度は High、CVSS v3.1 は 8.1（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）、CWE-367（確認から使用までの競合）です。CISA の KEV には載っていません。EPSS（FIRST）は 2026-11-01 の算出で 0.60%（パーセンタイル 49%）です。

何が起きるか

• 勧告によると、コアを丸ごと入れ替える更新（フルパッケージの更新）で使う作業用の置き場所（ステージング用のパス）が、予測しやすく、外から Web でアクセスできる場所にありました。
• そのため、認証なしの攻撃者が、更新している最中の短い時間に、サーバー上でコードを実行できる可能性があります。
• 更新中だけが狙われる問題で、更新していないときに常に悪用できるわけではありません。CVSS の攻撃条件の複雑さが「高」なのは、この時間の制約のためと考えられます（これは推定です）。

影響を受ける版と修正

• 勧告は 4.7 から 7.1.3 までを対象にしています。NVD の記載では、4.7 系は 4.7.38 まで、5.0 系は 5.0.30 まで、6.9 系は 6.9.10 まで、7.0 系は 7.0.7 まで、7.1 系は 7.1.3 までが対象です。
• 修正版は 7.1.4 です（WordPress 公式の版確認 API で 7.1.4 が最新、7.1.1〜7.1.3 は「insecure」）。ほかの系統の修正版の版番号は、確認できていません（各系統の次の版と思われますが、未確認です）。
• WordPress は 2026 年 10 月 28 日に 7.1.4 をセキュリティリリースとして公開しました。リリースの告知には「更新プロセスにおけるリモートコード実行のおそれ」という項目があり、これが本件にあたると見られますが、告知は CVE 番号を挙げていません（対応づけは推定です）。
• 告知は、修正を 4.7 まで遡って提供する予定とし、告知時点では作業の途中だと書いています。
• 勧告の公開は 10 月 31 日（UTC）で、リリースの約 3 日後です。参照先には、7.1.3 と 7.1.4 の更新処理（class-wp-upgrader.php、update-core.php）のソースが挙がっています。

悪用の条件

• 対象の版の WordPress を使っている。
• サイトでコアの更新（特にフルパッケージの更新）が行われる。自動更新も含まれます。
• 攻撃者が、更新の最中にステージング用のパスへ到達できる。

対応

1. 使っている WordPress の版を確認します。
2. 7.1.4 以降（または、使っている系統で提供された修正版）へ更新します。告知は、すぐに更新することを勧めています。
3. 自動更新を有効にしている場合は、更新が済んだか管理画面で確認します。
4. 更新を手作業で行う場合は、更新の時間をなるべく短くし、アクセスの少ない時間帯に行います。

未確認の点

• 悪用の報告は見つかっていません（KEV 掲載なし。EPSS は 0.60%（11/1））。
• NVD の登録状態は「Received」（受付済み）で、NVD 自身の評価は未確認です。上の CVSS は CVE 割り当て元（Wordfence）の値で、GitHub と同じです。
• 実際の環境での再現は確認していません。記載は勧告・NVD・WordPress の告知の内容に基づきます。
• ステージング用パスの具体的な場所や悪用の手順は、勧告に書かれていないため、ここでも触れません。