「WordPress」更新機能のRCE脆弱性 - 悪用に米当局が注意喚起

コンテンツマネジメントシステムである「WordPress」の脆弱性が、実際の攻撃に悪用されていることがわかった。米当局が注意を呼びかけている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年11月3日、「WordPress」の脆弱性「CVE-2026-119977」を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

同脆弱性は、「WordPress」のコアプログラムにおいてアップデート時にコードを実行されるおそれがある脆弱性。パッケージ更新時、一時的に展開されるファイルの保存先を予測し、外部からアクセスして脆弱性を悪用できるという。

同脆弱性は現地時間2026年10月28日にリリースされた「WordPress 7.1.4」で修正されており、「WordPress 4.7」以降のブランチに対してもバックポートが順次実施されている。

CVE番号を採番したWordfenceは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.1」、重要度を「High」と評価。また過去24時間に同社製品で同脆弱性の悪用を試みる1万3000件超の攻撃をブロックしたとしている。

同脆弱性について、CISAは米行政機関における対応期限を3日後にあたる2026年11月6日に指定。侵害状況についても調査を行うよう求めている。

（Security NEXT - 2026/11/04 ）ツイート