CISA、WordPressのコア脆弱性の悪用を確認し、既知の悪用脆弱性カタログに追加

A MacBook with lines of code on its screen on a busy desk — Christopher Gower / Unsplash

米国のサイバーセキュリティおよびインフラセキュリティ局（CISA）は、WordPressのコアに存在する脆弱性が実際に悪用されている証拠に基づき、既知の悪用脆弱性（KEV）カタログに追加した。この脆弱性はCVE-2026-119977として追跡されており、CVSSスコアは8.1の重大なレベルに分類されている。これはチェック時点と使用時点の競合状態（TOCTOU）であり、影響を受けるサーバー上で任意のコードを実行できる可能性がある。修正パッチは先月下旬にリリースされた。

CISAは、この脆弱性がアップグレードの時間帯中に認証されていない攻撃者によるコード実行を可能にする可能性があると説明した。これは、完全なパッケージのコアアップグレード中に使用される予測可能でWebからアクセス可能なステージングパスが原因である。Wordfenceは、この脆弱性の悪用にサイト上のアカウントは不要だが、完全なコア更新中の短い時間帯を利用する必要があると指摘した。

公開直後の21時間以内に、Wordfenceはステージングされた「setup-config.php」インストーラーパスを対象とする18,500件以上のリクエストを記録した。直近24時間では、この脆弱性の悪用を試みる12,632件の攻撃がブロックされた。Previdianのテレメトリデータによると、英国に位置するIPアドレスからハニーポットセンサーに対する3件の悪用試みが2026年10月30日に観測された。CISAの公式確認により、連邦民間行政機関（FCEB）は2026年11月6日までに修正を適用する期限が設けられた。