# WordPress更新時の脆弱性が悪用対象に。修正版と侵害の兆候を確認

Canonical: https://security.qutori.jp/article/wordpress-upgrade-kev-nov2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-11-04

CISAはWordPress Coreの更新処理にある脆弱性CVE-2026-119977を11月3日にKEVへ追加。更新作業中に、認証なしでサーバー上のコードを実行されるおそれがあります。

## 確認すること

公式修正版への更新状況と、不審なファイル・アクセスの有無を保守担当者に確認する。

- [CISA / WordPressの原文](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-11-04 / 本記事更新：2026-11-04 / 原文確認：2026-11-04。

原文発行：CISA / WordPress / 原文公表：2026-11-03。

## 対象と影響

WordPressは10月28日公開の7.1.4で更新処理の問題を修正。利用サイトのバージョンと更新状況を保守担当者に確認してください。

## 確認の手順

1. WordPress公式の修正案内と使用中のバージョンを照合する。
2. 更新状況と侵害の兆候の調査を分けて確認する。

## 公表された事案の流れ

WordPressコアの更新処理 → 外部から更新中の領域へアクセス → サーバー上でコード実行のおそれ

防御の確認箇所：公式修正版の適用と侵害の兆候の調査

## 優先度の考え方

該当する場合は至急確認。CISAが実悪用を確認してKEVへ追加。個々の利用サイトの侵害を示すものではない。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-119977](https://www.cve.org/CVERecord?id=CVE-2026-119977)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

公表機関の所在。攻撃元ではない。

## 原文と確認箇所

- [CISA / WordPress — CISA KEV: CVE-2026-119977](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
- [追加の一次資料](https://wordpress.org/news/2026/10/wordpress-7-1-4/)

公式KEV catalogVersion 2026.11.03、dateAdded 2026-11-03とWordPress公式7.1.4本文の更新処理RCE修正を確認。公開日はKEV追加日で、製品修正版の原公開日は10月28日。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

## 同じテーマを読む

- [脆弱性の重大度と悪用の証拠を分けて判断する](https://security.qutori.jp/analysis/cloudflare-zero-wire-nov2026.html) — 公開サーバー・VPN
- [アプリだけでなく、稼働中のLinuxも確認する](https://security.qutori.jp/analysis/jfrog-linux-host-responsibility-nov2026.html) — 公開サーバー・VPN
- [冷凍・冷蔵設備も攻撃対象に。ネット接続を棚卸しする](https://security.qutori.jp/article/sweden-cooling-ot-incidents-nov2026.html) — 公開サーバー・VPN

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)