WordPress脆弱性の対応｜7.1.4への更新と確認手順

公開日2026年11月4日
約11分で読めます

目次9

2026年11月3日、米国のセキュリティ機関CISAは、WordPress（ワードプレス）本体の脆弱性 CVE-2026-119977 を「実際に悪用が確認された脆弱性」の一覧に加えました。修正版のWordPress 7.1.4は10月28日に公開されています。

この記事では、自社のホームページをWordPressで作っている会社に向けて、まず何を確かめればよいか、更新の手順、攻撃の形跡の調べ方を順番に説明します。制作会社に任せたままのサイトも対象です。

この記事のポイント

WordPress 4.7〜7.1.3が対象です。お使いの系統の修正版（7.1.4、7.0.8、6.9.11、6.8.12 など）まで更新しましょう。
攻撃が成り立つのは、WordPress本体の更新中のわずかな時間だけです。難しい攻撃ですが、狙う動きはすでに確認されています。
自動更新を信じきらないこと。実際に修正版になっているか、画面で確かめましょう。
4.6以前には修正版がありません。サポートされている版への移行が必要です。

4.7〜7.1.3

対象の版

11月3日

CISAが悪用確認の一覧に追加

1.85万回超

狙う通信の数（Wordfence報告・防御ルール提供後の21時間）

ことばの説明

WordPress＝ホームページやブログを作り、管理するためのソフトウェアです。専門知識がなくても更新しやすいため、企業サイトで広く使われています。

脆弱性（ぜいじゃくせい）＝システムの"弱いところ"。悪い人に見つかると、そこから攻撃されるおそれがあります。

CISA（シサ）＝米国のサイバーセキュリティ機関です。実際に攻撃に使われた脆弱性を一覧（KEVカタログ）にして公開しています。

どんな脆弱性？なぜ危ないの？

WordPressは本体を更新するとき、新しいファイルをいったん wp-content/upgrade/ という作業用の場所に展開します。この場所の名前を前もって予測でき、しかもインターネットから開けるサーバーが多いことが問題でした。

攻撃者は、展開から削除までのわずかな時間に作業用ファイルへアクセスします。うまくいくと、ログインしていなくても、サーバー上で好きなプログラムを動かせるおそれがあります。こうなると、次のような被害につながります。

ホームページの改ざん

偽のページや、訪問者をあやしいサイトへ誘導する仕掛けを埋め込まれるおそれがあります。

お問い合わせ情報の流出

フォームから届いた氏名やメールアドレスをサイト内に保存している場合、盗まれるおそれがあります。

サーバーの悪用

迷惑メールの送信や、ほかのサイトへの攻撃の足がかりに使われるおそれがあります。

深刻度の評価は分かれています

WordPress自身はこの問題を「低（Low）」と評価しています。一方、CVE番号を割り当てたWordfence社の評価はCVSS 8.1（高）です。攻撃が成り立つ時間は、検証環境で数秒ほどしかなく、Patchstack社は実用的な攻撃は難しいとみています。

ただしWordfence社は、防御ルールの提供後の21時間で、作業用ファイルを狙う通信を1万8,500回以上観測しました。報告されているのは攻撃の試みで、11月3日時点の報告では、乗っ取りの成功例は公表されていません。それでも、CISAが一覧に加えた以上、後回しにしてよい問題ではありません。

対象の版と、移る先

WordPressは、4.7までの古い系統にも修正を提供しています。まず、自社のサイトがどの系統かを確かめましょう。

系統	対象の版	修正版
7.1	7.1.0〜7.1.3	7.1.4
7.0	7.0.0〜7.0.7	7.0.8
6.9	6.9.0〜6.9.10	6.9.11
6.8	6.8.0〜6.8.11	6.8.12
6.7	6.7.0〜6.7.10	6.7.11
6.6	6.6.0〜6.6.10	6.6.11
6.5	6.5.0〜6.5.13	6.5.14
6.0〜6.4	対象	6.4.14／6.3.14／6.2.15／6.1.16／6.0.18
5.0〜5.9	対象	5.9.20／5.8.19／5.7.21／5.6.23／5.5.24／5.4.25／5.3.27／5.2.30／5.1.28／5.0.31
4.7〜4.9	対象	4.9.35／4.8.34／4.7.39
4.6以前	修正版なし	サポートされている版へ移行

※WordPressが積極的にサポートしているのは最新版だけです。古い系統の修正版は、応急の手段と考えて、できれば7.1.4まで上げることをおすすめします。

※長く更新していないサイトには、2026年7月に修正された別の脆弱性（CVE-2026-60137／CVE-2026-63030、通称wp2shell、深刻度9.8）も残っているおそれがあります。

これまでの流れ

2026年10月28日
WordPressが7.1.4を公開し、すぐに更新するよう呼びかけ。修正は4.7までの系統にも提供
2026年10月29日
WordPressが問題の内容を公開（評価は「低」）
2026年10月31日
Wordfence社がCVE-2026-119977として公開（CVSS 8.1）
2026年11月3日
CISAが「悪用が確認された脆弱性」に追加

確かめて、対応する6ステップ

だれがサイトを管理しているか確認する
社内の担当者か、制作会社か、保守会社かを確かめます。わからないときは、サーバーの契約書や、制作時のメールを探しましょう。
版を確認する
管理画面にログインし、左のメニューの「ダッシュボード」→「更新」を開くと、今の版が出ます。コマンドが使える場合は wp core version でも確かめられます。
バックアップをとる
更新の前に、サイトのファイルとデータベースの両方を保存します。
できれば、作業用の場所を外から開けないようにする
7.1.4への更新そのものも、古い版のプログラムが行います。サーバーの設定で /wp-content/upgrade/ へのアクセスを拒否してから更新すると、より安全です。設定に自信がなければ、この手順はサーバーに詳しい人に任せましょう。
修正版に更新し、版をもう一度確かめる
「ダッシュボード」→「更新」→「今すぐ更新」で進めます。自動更新を有効にしているサイトも、修正版になったことを必ず画面で確かめましょう。
攻撃を受けた形跡がないか調べる
下の確認項目を見ます。あやしい点があれば、管理者のパスワードを変え、専門の会社に相談してください。