現在JavaScriptが無効になっています
Yahoo!ニュースのすべての機能を利用するためには、JavaScriptの設定を有効にしてください。
JavaScriptの設定を変更する方法はこちら
配信
米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は11月3日、WordPress本体の脆弱性「CVE-2026-119977」を、悪用確認済みの脆弱性カタログ（KEV）に追加した。本体の更新処理中に認証なしで任意のコードを実行される恐れがある欠陥で、修正版7.1.4は10月28日公開。影響は4.7までの各ブランチに及ぶ。
【画像解説と記事全文はこちら】WordPress更新時の欠陥、評価と対応の違い
米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）は11月3日、WordPress本体の脆弱性「CVE-2026-119977」を、実際の攻撃での悪用が確認された脆弱性のカタログ「KEV」に追加したと明らかにした。
CISAは、この欠陥を「TOCTOU（確認時点と使用時点のずれ）型の競合状態」の脆弱性と位置付けている。悪用の証拠に基づいて登録したとしており、あらゆる組織にKEV登録済みの脆弱性を優先して直すよう促した。
WordPress開発チームの説明によると、問題はWordPress本体を完全なパッケージで更新する際に起きる。新しいファイルの展開先がWebから到達できる領域にあり、場所も予測できる。そこで認証を持たない攻撃者が展開処理との競争に勝つと、遠隔から任意のコードを実行できる恐れがあるという。つまり、更新作業をしている最中にだけ突かれる弱点だ。
開発チームは10月28日、セキュリティリリース「WordPress 7.1.4」を公開した。更新処理の弱点のほか、複数のクロスサイトスクリプティング（XSS）の問題なども修正している。管理画面の「更新」から適用でき、自動更新に対応するサイトでは更新が自動で始まるという。
影響を受けるのは、7.1.0～7.1.3に加え、7.0.0～7.0.7、6.9.0～6.9.10など、4.7までの各ブランチだ。修正は、現在セキュリティ修正の対象となっているすべてのブランチに移植された。修正版は、7.0系が7.0.8、6.9系が6.9.11、4.7系が4.7.39となる。
開発チームは、この更新はセキュリティリリースであるため、直ちに更新するよう勧めている。WordPressはWebサイトの構築基盤として広く使われており、自社サイトやオウンドメディアを運営する企業は、使っているバージョンの確認が急務となる。
ドコモの通信障害が「復旧」 原因は「5G SA契約者を収容する交換機における輻輳」
「給与維持の週休3日制」AI効率化で実現 しかし社員が喜ばず……なぜ？ 「ライザAI」提供企業で起きたこと
ゲーセンに真っ暗な画面ずらり……セガ系システムの障害が長期化、復旧めど立たず
中国メーカー、出荷前のAndroid端末に犯罪用のバックドアを設置か Googleが取引停止
『鬼滅の刃』を『ホタルの嫁入り』作者が描いたら…「美しすぎ」「かっっっこいい」と絶賛の声
Yahoo!ニュースにPR掲載
企業の発表をより多くの人へ届けませんか
「ラリーペイジが正しかったかもしれない」イーロン・マスクが語ったAIと人類共存の道
オラクル株が急落、ラリー・エリソンの資産が約1.8兆円消失──世界長者番付のトップ10から転落
半導体株が急落で「数年ぶりの大幅安」、エヌビディアやマイクロンなどが8％超の下落
WordPress本体の更新中を狙う攻撃が現実に、米CISAが悪用確認で登録…自社は大丈夫か
GPSの弱点を商機に、米新興Xonaが約393億円調達し民間測位市場に挑む──日本・トプコンの子会社とも契約
Copyright © 2026 SB Creative Corp. 無断転載を禁じます。