Hikosachi 開発チームです。
今回は、10月28日に公開されたWordPressコアのセキュリティリリース「WordPress 7.1.4」で修正された脆弱性（更新処理中のレースコンディション）に対し、パッチ公開直後から大量の攻撃試行が観測されているという続報についてお届けします。
あわせて、直近で報告された中小規模プラグインの脆弱性もまとめます。
今回のポイント
- WordPress 7.1.4（10月28日公開）が修正した「コア更新処理中のレースコンディション」を狙った攻撃試行が、パッチ公開直後から急増していると複数のセキュリティメディアが報じている。
- Wordfenceの集計として、1日あたり6万〜7万件規模のブロック済み攻撃試行が報告されており（報道によって約58,700件・約60,500件・約63,000件・約70,000件など数値に幅がある）、いずれも「試行」であり実際の侵害成功が確認されたという報告は本稿執筆時点で見当たらない。
- この脆弱性はWordPress 4.7〜7.1.3が対象、CVSS 8.1相当とされる。未更新のサイトは早急に7.1.4以降（または各系列の対応パッチ版）へ更新することが推奨される。
- 一部報道では本脆弱性にCVE-2026-119977という番号が割り当てられているとされるが、複数の一次情報で確認が取れていないため、本稿では確定情報として扱わない。
- このほか、直近ではFeedWordPressプラグインの格納型XSS、Media Library Assistantプラグインの情報漏えい・XSS、Kali Formsプラグインのメールアドレス漏えいなど、中小規模の脆弱性も報告されている。
WordPress 7.1.4の脆弱性を狙った攻撃試行について
10月29日の本欄でもお伝えしたとおり、WordPress 7.1.4はコアの自動更新処理で使われる一時フォルダ名が推測可能だったことに起因するレースコンディションを修正しています。
更新処理中のごく短い時間帯に、展開途中のインストーラー一式へ未認証の第三者がアクセスできる可能性があったというものです。
複数のセキュリティメディアの報道によれば、このパッチが公開された直後から、この脆弱性を狙ったとみられる攻撃試行が急増しているとされています。
Wordfenceの集計を引用する報道では、1日あたり6万件台後半から7万件規模のブロック済み攻撃試行が観測されていると伝えられています（具体的な数値は報道元ごとに58,693件・60,471件・62,969件・70,095件などとばらつきがあり、いずれも二次報道のため正確な一次データは確認できていません）。
いずれの報道でも「ブロックした攻撃試行の件数」であり、実際にサイトが侵害された事例が確認されたという発表は見当たりません。
対象となるのはWordPress 4.7から7.1.3までの系列で、脆弱性のCVSSスコアは8.1相当とされています。
WordPress.org側では本稿執筆時点で確定的なCVE番号の公開は確認できておらず、一部メディアがCVE-2026-119977という番号を記載していますが、他の報道・データベースでは同番号の記載が見当たらないため、本稿では未確定情報として扱います。
対策としては、まずWordPress本体を7.1.4以降（6.9系・7.0系などサポート対象の旧系列も含め、対応するセキュリティパッチ版）へ更新することが最優先です。
背景更新（バックグラウンドアップデート）が有効なサイトでは多くの場合自動的に適用されていますが、管理画面の「更新」メニューで適用状況を確認することをおすすめします。
あわせて、更新処理に関連するディレクトリ（wp-content/upgrade/配下など）への不審なアクセスログや、見覚えのない管理者ユーザー・設置されたはずのないPHPファイルの有無を確認しておくと安心です。
そのほかの報告（中小規模の脆弱性）
- FeedWordPress: 格納型XSS（CVSS 7.2相当、2026年10月31日報告）。対象はバージョン2026.0517まで。RSS/Atomフィードの取り込み機能を利用しているサイトは最新版への更新を確認してください。
- Media Library Assistant: バージョン3.44未満に情報漏えい・格納型XSSの脆弱性が報告されている（2026年11月1日時点の報道、深刻度は低いとされる）。
- Kali Forms: バージョン2.4.30未満に、購読者（Subscriber）権限でも他ユーザーのメールアドレスを取得できてしまう脆弱性が報告されている。
いずれも現時点で大規模な悪用が確認されているという報道はありませんが、該当プラグインを利用している場合は最新版へのアップデートをおすすめします。
参照元
- Brandefense: WordPress 7.1.4 Security Update – Upgrade Window RCE
- Techaeris: WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts
- Digital Today: Attack attempts targeting WordPress update RCE flaw top 60,000 a day
- SecurityOnline: WordPress Core Vulnerability Exploited in the Wild
- InternetSecure: WordPress 7.1.4 Upgrade-Window RCE解説
Hikosachiについて
Hikosachiは、WordPressサイトを標的としたサイバー攻撃を検知・遮断するセキュリティサービスです。本件のようなコア更新処理の隙を狙う手口を含め、不審なアクセスパターンの検知・遮断にお役立ていただけます。
サイトのセキュリティ対応に不安がある場合は、WordPressの保守・開発を専門とするアイネクシオ合同会社へのご相談もご検討ください。
