WordPress 本体の更新処理で未認証RCE（4.7〜7.1.3・7.1.4 で修正）

High（CVSS 8.1）に分類されるWordPress WordPress（本体・Core）4.7〜7.1.3の脆弱性です。**WordPress 本体を丸ごと更新する処理の途中で、未認証の攻撃者がサーバ上でコードを実行できる。** NVD に載った Wordfence（CNA）の記述によれば、本体のフルパッケージ更新で使う一時展開先（staging）のパスが推測でき、しかも Web から到達できるため、更新が走っている間だけ攻撃が成立する。対象は **WordPress 4.7〜7.1.3**。 **評価値。** CVSS 3.1 は **8.1 High**（AV:N/PR:N/UI:N＝ネットワーク経由・認証不要だが、AC:H＝更新の時間帯に合わせる必要があり攻撃の難度は高い）。NVD の分析状況は Received（2026-10-31 公開）。 **修正。** WordPress は2026年10月28日にセキュリティリリース 7.1.4 を出し、修正一覧の先頭に「更新処理の弱点で、更新の時間帯にリモートコード実行に至り得る」問題を挙げている（報告者 Umut Bayram）。同じリリースでは Interactivity API やブロックの格納型 XSS など計12件の問題も直っている。実際の悪用は 2026-11-02 時点で報告されておらず、CISA KEV にも未収載。

**WordPress を 7.1.4 以降へ上げる。** 自動バックグラウンド更新が有効なサイトは自動で上がり始めるとされているので、まず管理画面の「更新」で版を確かめる。 **古い系列。** WordPress は修正を「セキュリティ修正の対象となる全系列（現在は 4.7 まで）」へ順次バックポートするとしているが、公式記事には各系列の修正版の番号が載っておらず、記事公開時点ではバックポート作業が進行中だった。7.1 系より前の系列を使っている場合は、その系列の最新のマイナー版が出ているかを公式で要確認。 **更新するまで・更新するとき。** この欠陥は「更新が走っている時間帯」にだけ悪用できる。回避策は公式に示されていないが、更新作業そのものが攻撃の窓になるので、修正版へは一度で上げ、上げた後は wp-content/upgrade など一時展開先に不審なファイルが残っていないかを確認する。

WordPress WordPress（本体・Core）4.7〜7.1.3 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-119977）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。