WordPress更新時のRCE、開発元LowとWordfence Highの評価差を読む

更新時の一時ディレクトリが攻撃対象に

WordPressが2026年10月29日に公開したGHSA-4w3m-c66w-69mgによると、完全パッケージを使うCore更新では、新しいファイルがWebから到達できるアップグレード用ディレクトリ内の予測可能な場所へ展開されていた。認証していない攻撃者がこの展開処理と競争するようにアクセスした場合、遠隔コード実行（RCE）につながる可能性がある。通常時にWordPressへアクセスするだけで必ずRCEが成立する問題ではなく、更新処理中の一時的な状態が焦点となる。

開発元LowとWordfence Highを分けて読む

WordPress開発元のGHSA-4w3m-c66w-69mgは深刻度をLowと表示する。一方、Wordfenceは同じ更新処理に関する問題をCVE-2026-119977として説明し、CVSS v3.1 8.1のHighと評価している。評価主体が異なるため、WordPress自身がHighと評価したようにまとめることはできない。

Wordfenceは、成功時にはサーバー上のコード実行につながる一方、完全パッケージ更新、Webからステージング領域への到達、数秒程度の競合への勝利などが必要で、攻撃の難度が高いと説明する。WordPressのGHSAにはLowという定性的評価が示されているが、詳しいCVSS採点根拠は記載されていない。本稿では両者の評価を併記し、WordPress側の評価理由を推測で断定しない。

攻撃を試みる通信を観測、成功例とは区別

Wordfenceは10月29日の調査報告で、10月28日に防御ルールを導入してから9分後に最初の一致リクエストを確認し、最初の21時間で一時的なsetup-config.phpなどを狙う18,500件超のリクエストを記録したと述べた。約14.5時間にわたり少数サイトを繰り返し探索する送信元もあった。ただし、すべてのリクエストが正確な攻撃パスだったわけではなく、公開された記録から侵害成功は確認できない。攻撃試行の観測と実被害の確認を混同しないことが重要だ。

修正版へ更新し、アップグレード領域を点検

WordPressは10月28日に7.1.4を公開し、GHSAには7.0.8、6.9.11など各ブランチの修正版も掲載した。サイト管理者は利用版と更新状態を確認し、公式修正版へ移行する必要がある。更新前にはWebサーバー側でwp-content/upgrade/への外部アクセスを遮断できるか確認することが合理的で、更新後も不審な同ディレクトリへのリクエスト、見覚えのない管理者アカウントやPHPファイルを点検したい。Wordfenceもファイアウォールを更新の代替とせず、実際に更新が完了したか確認するよう推奨している。