米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、コンテンツ管理システムWordPressにおける深刻な脆弱性が活発に悪用されているとして、連邦機関に対して緊急の警告を発しました。この脆弱性（識別子：CVE-2026-119977）は「リモートコード実行（RCE）」に分類され、攻撃者が標的のサーバーを制御することを可能にします。
この脆弱性は、WordPressコアの更新プロセスにおける「TOCTOU（Time-of-check Time-of-use）」と呼ばれる技術的な欠陥に起因します。攻撃者は、システム全体のパッケージアップグレード中にWebからアクセス可能な一時パスを悪用し、複雑な環境下で悪意のあるコードを実行します。
公式の対応と攻撃の激化
この脅威を受け、CISAは当該脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加し、連邦民間機関に対して来週金曜日までにシステムを保護するよう義務付ける指令（BOD 26-04）を発行しました。この命令は米政府機関のみを対象としていますが、同庁は世界中の民間セクターのネットワーク管理者に対しても、直ちにシステムを更新するよう優先的に促しています。
現場のデータは攻撃の規模が拡大していることを示しており、セキュリティ企業のWordfenceは、活動が確認されてからわずか24時間で、この脆弱性を標的とした13,095件以上の攻撃をブロックしたと報告しています。
実質的な影響
この脆弱性の真の危険性は、従来のセキュリティ障壁を回避できる点にあります。攻撃者は、サイトに対するアカウントや事前のアクセス権限を一切必要とせずにコマンドを実行できます。また、「更新ウィンドウ」を悪用するため、ルーチンメンテナンス中に行われる疑わしい活動の検知が困難になっています。
今回の脅威は、最近WordPressを標的とした一連の脆弱性の一環として発生しています。例えば、昨年9月に悪用され、中小企業や政府機関の18,500件以上の記録からデータを盗み出したwp2shell脆弱性シリーズなどが挙げられます。これらのリスクを回避するため、すべてのサイト管理者は直ちにWordPress 7.1.4以降のセキュリティ修正が含まれるバージョンへアップデートする必要があります。