WordPressの更新処理の脆弱性が、悪用確認済みの一覧に追加された
WordPress本体の更新処理にある脆弱性（CVE-2026-119977）が、米国CISAの悪用確認済み一覧に加わりました。急いで更新したほうがよい理由と、修正版7.1.4への更新で自社のサイトを確認する点を紹介します。
この記事で分かること
- 急いで更新したほうがよい理由
- すでに悪用が確認されていること
- 自社のWordPressで、更新済みかを確認する手順
WordPressでホームページを運営している場合は、管理画面に更新の知らせが出ていないかを、早めに確認してください。2026年11月5日付のJPCERT/CC（日本の情報セキュリティの調整機関）の週報で、WordPress本体の更新処理にある脆弱性（CVE-2026-119977）が、米国のCISA（サイバーセキュリティ・社会基盤安全保障庁）が管理する「悪用が確認された脆弱性の一覧」に加わったことが伝えられています。WordPressは、ホームページやブログを作るために広く利用されているソフトです。
急いで更新したほうがよい理由
この脆弱性は、更新を行っている間に、認証なしで、遠隔の第三者に任意のプログラムを実行されるおそれがあるものです。任意のプログラムを実行されると、サイトの内容を書き換えられるなど、サイトを乗っ取られるおそれがあります。さらに、すでに悪用が確認された脆弱性の一覧に加わっているため、「そのうち更新する」では間に合わないおそれがあります。
修正は、2026年10月28日に公開されたセキュリティリリースWordPress 7.1.4に含まれています。WordPress.orgは、すぐに更新することを推奨しています。現在サポートされている最新の版だけでなく、4.7までの古い系統にも修正が提供されています。対処は、修正済みの版へ更新することです。詳しい内容は、出典のJPCERT/CC週報とWordPress.orgの案内をご覧ください。
自社のWordPressで確認すること
管理画面で、今のバージョンを確認します。 WordPressの管理画面にログインし、「ダッシュボード」の「更新」を開くと、利用している版と、更新の有無が表示されます。7.1.4より古い版で、更新の案内が出ている場合は、更新が必要です。
更新の前に、バックアップを取ります。 更新でサイトの表示が崩れた場合に、元へ戻せるようにするためです。レンタルサーバーに自動バックアップの機能があるか、契約しているサービスで確認します。
更新のあと、サイトの表示を確認します。 トップページ、お知らせ、問い合わせフォームを開き、表示や送信に問題がないかを確認します。
保守を委託している場合は、更新済みかを委託先に確認します。 「7.1.4以降に更新したか」「いつ更新したか」を聞きます。更新を自動にしているかも、あわせて聞くと、次の更新のときに対応が遅れずに済みます。
更新できない事情があるときは、制作会社や保守の担当者に相談します。 利用しているテーマやプラグイン（機能を追加する部品）が新しい版に対応していない場合などは、自分で判断せず、確認してから進めます。
WordPressの更新処理の脆弱性が、悪用の確認された一覧に加わったため、管理画面で版を確認し、7.1.4以降への更新を済ませておく必要があります。
参考情報・出典
- JPCERT/CC：JPCERT/CC Weekly Report 2026-11-05（【5】WordPressに複数の脆弱性）
更新処理の脆弱性（CVE-2026-119977）が認証なしでコード実行につながること、CISAのKnown Exploited Vulnerabilitiesカタログへの追加、更新による対処。
- WordPress.org：WordPress 7.1.4
セキュリティリリースの内容、修正された脆弱性の一覧、更新方法、自動更新、古い系統への修正の提供。
