サイトの土台となるWordPress本体の「本体を更新する処理」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.7.0 〜 7.1.3 です。
本脆弱性を悪用された場合、WordPress本体の更新が行われている間に、ログインしていない第三者がサーバー上で任意のプログラムを実行できる可能性があります。
対策として、WordPress本体をバージョン 7.1.4 以降（または各系統の修正版）へ更新することを推奨します。
脆弱性詳細
本脆弱性は、WordPress本体を更新する際に、新しいバージョンのファイル一式をサーバー内へ一時的に展開する処理に存在します。展開先はWebから閲覧できる場所にあり、本体の更新処理が動いている間、第三者がこのファイル一式にアクセスできる状態となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- サーバー上で、攻撃者が用意したプログラムが実行される
これにより、ファイルの改ざんや不正なファイルの設置、サイト内データの読み取りにつながるおそれがあります。 - サイトの設定ファイル（wp-config.php）が攻撃者の用意した内容に置き換わる
置き換わった場合、サイトが攻撃者の用意したデータベースに接続し、正常に表示されなくなったり、攻撃者が用意した内容が表示されたりするおそれがあります。
被害発生の条件
以下の条件がすべて重なった場合に、被害が発生する可能性があります。
- WordPress本体の更新処理が実行されている最中であること（攻撃できるのは、更新中の短い時間に限られます）
- Webサーバーで「ディレクトリ一覧表示」（フォルダの中身をファイル一覧として表示する機能）が有効になっているなど、一時展開先のフォルダ名を外部から知る手段があること
- 攻撃者のログインは不要です
技術的な詳細
一時展開先を発見できた
- 更新時、新しいWordPressのファイル一式は「wp-content/upgrade」フォルダ内に展開されます。
- 展開先のフォルダ名はダウンロードしたファイル名をもとに付けられており、また「wp-content/upgrade」フォルダには一覧表示を防ぐためのファイルが置かれていませんでした。
- そのため、ディレクトリ一覧表示が有効なサーバーでは、展開先のフォルダ名を外部から確認できる状態でした。
展開中のWordPressが「初期設定前」として動作した
- 展開されたファイル一式には、設定ファイル（wp-config.php）が含まれていません。
- そのため、展開先へ直接アクセスすると新規インストール時と同じ初期設定画面が表示され、ログインなしで設定ファイルの作成やインストールを進められました。
作成された設定ファイルが本番環境へコピーされ得た
- 更新処理の最後に、展開したファイル一式が本番環境へコピーされます。
- このとき設定ファイルがコピー対象から除外されていなかったため、展開先で作られた設定ファイルが、本番サイトの設定ファイルを上書きする可能性がありました。
攻撃の流れ（概要）
- 更新処理が始まり、ファイル一式が一時展開されるのを待つ
- 展開先のフォルダを特定し、初期設定画面にアクセスする
- 攻撃者の用意した内容で設定とインストールを完了させ、管理者権限を得る
- その権限を使って、サーバー上でプログラムを実行する
対策版での変更
- 展開先のフォルダ名に付与するランダム文字列を長くし、推測がより困難になるよう変更されました。
- 「wp-content/upgrade」フォルダに、一覧表示を防ぐためのファイルが置かれるようになりました。
- 展開先の設定ファイルを、本番環境へコピーしないよう変更されました。
脆弱性の種類
CWE-367 チェック時と使用時の競合状態（TOCTOU） 
処理の途中にできる隙を突かれる問題
推奨対応事項
以下の対応を強く推奨します。
- WordPress本体の更新
- 速やかに、WordPress本体をバージョン（7.1.4 以降）へ更新してください。
- 7.1系以外をご利用の場合も、各系統に対応した修正版（例：7.0.8、6.9.11、6.8.12 など）が提供されています。ご利用中の系統の最新版へ更新してください。
- この更新作業自体も、問題のある旧バージョンの処理で行われます。下記「追加のセキュリティ対策」のディレクトリ一覧表示の無効化を先に済ませてから更新すると、より安全です。
- 被害確認
- サーバーのアクセスログを確認できる場合は、過去に本体を更新した日時の前後に「/wp-content/upgrade/」を含むURLへのアクセスがないかご確認ください。特に「setup-config.php」や「install.php」を含むアクセスがあった場合は、攻撃を受けた可能性があります。
- 設定ファイル（wp-config.php）の更新日時が本体の更新日時と重なっていないか、またデータベースの接続先（DB_NAME や DB_HOST の値）が本来の設定のままかをご確認ください。
- 「wp-content/upgrade」フォルダ内に、身に覚えのないフォルダやファイル（特に wp-config.php）が残っていないかご確認ください。
- 管理画面の「ユーザー」一覧に身に覚えのない管理者がいないか、「プラグイン」一覧に心当たりのないプラグインがないかをご確認ください。
- 追加のセキュリティ対策
- Webサーバーのディレクトリ一覧表示を無効にしてください。本脆弱性の悪用条件の一つを取り除けます。設定方法が分からない場合は、ご利用のレンタルサーバーの管理画面やサポート情報をご確認ください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、「wp-content/upgrade」内へのアクセスを遮断できる場合があります。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となる本体の更新を優先してください。
⇒ 不審なアクセスやファイル、アカウントが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
WordPress 4.7.0 〜 7.1.3
（7.1系は 7.1.4 で修正。その他の系統も、それぞれ対応する修正版が提供されています）
※WordPress 7.1.4 では本件のほか、格納型XSS（投稿内容などに仕込まれた不正なスクリプトが、閲覧時に実行される問題）など複数の問題もあわせて修正されています。
脆弱性情報 (CVE-ID)
CVE-2026-119977
（公開日 2026年10月31日 更新日 2026年10月31日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.1 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-119977 悪用確率 0.60% （上位51%） 2026年10月31日時点
参考
WordPress Core 4.7.0 – 7.1.3 – Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WordPress本体をご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
