WordPressは更新済み？ 本体の版と「更新中の安全」を確認

どんな機能？ 名前を知らなくても、使っているかも。

WordPress（ワードプレス）は、HPの記事や固定ページを管理するCMS（シーエムエス、Webの内容を管理する仕組み）です。本体、機能を追加するプラグイン、見た目を整えるテーマは別の部品。「更新しました」がどの部品を指すか、実際に動く版と更新履歴を確認します。

たとえば、お店のHPで記事は毎週直していても、土台の本体の更新を誰が担当するか決まっていない場面です。これは説明用の架空例で、実在する店舗の被害ではありません。レンタルサーバーでも、自動更新の設定、提供会社が受け持つ範囲、自社や制作会社の確認範囲を分けて聞きます。

何が起きるおそれがある？

対象はCVE-2026-119977（シー・ブイ・イー、弱点の識別番号）。本体一式を入れ替える更新処理で、一時的に置かれるファイルへWebから到達できるなどの条件が重なると、処理のタイミングの隙を悪用され、不正な命令実行につながるおそれがあります。これを競合状態（きょうごうじょうたい）と呼びます。情報の読み取りやHPの書き換えなど、サーバー上で扱う情報と権限に応じた重大な被害につながり得ます。

CNA（シーエヌエー、CVEを登録する機関）のWordfenceは、CVSS3.1で8.1・High（ハイ、高）と評価しています。攻撃者のログインや、攻撃用のリンクを利用者が押す操作は不要とされています。ただし、本体全体の更新中という条件があり、攻撃成立の複雑さはHighです。Criticalという評価や、古い版なら普段の閲覧だけで必ず攻撃が成功するという説明ではありません。CISA（シーサ、米国のサイバーセキュリティ機関）が11月3日にKEV（ケブ、実際の悪用が確認された弱点の一覧）へ追加したため、重大な命令実行の影響と合わせて、この媒体ではHighの例外として優先確認を案内します。

対象と、修正を分けて確認する。

影響するバージョン・条件

WordPress本体の対象の系列（6.9系など、版のまとまり。原表では枝ごとに管理）に、修正を含まない版が残っている場合です。たとえば7.1.0〜7.1.3、7.0.0〜7.0.7、6.9.0〜6.9.10、6.8.0〜6.8.11など。原表は4.7系から枝ごとの境界を掲載しています。「4.7〜7.1.3」という大きな範囲だけで、既に修正済みの旧枝まで対象と判断しません。本体全体の更新中、一時配置がWebから到達可能という条件を担当者が確認します。プラグインを更新したことと、本体のこの問題への対応は別です。

修正版・更新先

この問題の修正を含む境界の例は7.1.4、7.0.8、6.9.11、6.8.12です。これらは現在の全環境へ一律に指定する更新先ではありません。WordPress公式は旧枝にも修正を提供していますが、積極的にサポートするのは最新の版だけと説明し、4.6以前はセキュリティ更新を受けなくなっています。利用中の枝の修正有無と、その後の修正、プラグイン・テーマ・PHPとの互換性を照合し、正式にサポートされる更新先を保守担当と選びます。表の境界版へ下げる案内ではありません。

あわせて知っておきたいこと

公式は速やかな更新を案内しており、自動更新を一律に止める対策ではありません。修正前の本体から更新する作業が今回の成立条件に当たるかも、保守担当へ聞きます。これは条件から考えた運用上の確認で、個々の更新方法への攻撃を実演した結果ではありません。更新中の外部からの到達を必要な範囲で制限できるか、一時配置をどう扱うか、提供会社の正式手順と業務影響を確認します。「メンテナンス中」の表示だけでアクセス制限が完了したとは判断しません。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   自社で確認するのは、本体の版と更新の担当

   管理画面や保守報告でWordPress本体の実際の版・更新日時・自動更新の状態を確認します。不明なら推測で「対象外」とせず、制作会社とサーバー会社のどちらが更新する契約か聞きます。パスワードや管理画面の秘密情報を一般のフォームへ送る必要はありません。

2. 02

   専門担当と、更新中の安全と復旧を決める

   本体全体を更新する方式か、一時配置へ外から届くか、作業中の制限と解除を誰が行うか相談します。バックアップとして、データベース、画像等のアップロード、テーマ・プラグイン・設定の控えと、別環境で戻せることを確認。停止時間・費用・工数・再起動の要否は構成別に見積もり、固定日数を約束しません。

3. 03

   本番とは別の環境で、いつもの仕事を試す

   互換性を確かめ、ログイン、記事の保存と表示、画像、問い合わせ・予約の保存と通知を確認します。通販なら試験決済の方法と注文記録も担当者と決め、実顧客へ通知したり、本番へ実注文・実問い合わせを送ったりしないテストを用意します。

4. 04

   反映と業務確認を分け、残る疑いは調査へ

   実際に動く本体が選んだ修正版になったこと、主要操作が正常なこと、作業中の制限の解除を別々に確認します。不審な管理者や改ざんの疑いがあれば、変更前のログ等を保全して侵害調査の専門担当へ。更新だけで既に起きた侵害まで解決したとは扱いません。問題時も脆弱な旧版へ戻すだけを安全な復旧としません。

保守会社に、このまま聞けます。

【WordPress本体の版・更新中の安全の確認依頼】 CVE-2026-119977について、次を確認してください。 1. 本体の稼働版、利用中の枝の修正有無、更新の担当と記録 2. 本体全体の更新方式と、一時配置への外部からの到達条件 3. 更新中の制限・解除、正式な更新先と互換性、止める必要のある業務 4. データベース・画像・テーマ等の控えと復元、ログなどの記録保全 5. 別環境でのログイン・表示・保存・予約等の確認、停止時間・工数・費用・戻し方 6. 適用後の稼働版と業務確認、不審な痕跡がある場合の調査担当 ※パスワード・秘密鍵・顧客情報は一般の相談フォームへ送らないでください。

停止時間・費用・戻し方まで含む確認文をコピーする →