概要
アップグレード中に、認証なしでサーバー上のコードを実行されるおそれ。
元の説明（英語）を読む
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
影響を受ける人
WordPress 4.7〜7.1.3 を使うサイトの管理者
対策
- WordPress を 7.1.4 以降に更新する
国内の動き
本文に同じ CVE 番号のある国内の注意喚起・報道は、まだ無い。
海外の動き
- CISA（注意喚起）↗11/3
PoC
リンクだけを載せる。中身は確かめていない。
偽物やマルウェア入りが混じる（GitHub の PoC の 1.9〜10.3% に悪意の兆候があったという研究がある）。動かすのは、自分の検証用の環境で、中身を読んでからにする。他人のシステムに向けない。
tc4dy/CVE-2026-119977-Toolkit↗★ 7 · 11/5 作成 · 攻撃コードらしいCVE-2026-119977 – WordPress Core Upgrade-Window RCE (CVSS 8.1) | Red/Blue Team Toolkit. Predictable staging dir takeover, wp-config.php promotion, Bait MySQL proof, WAF origin discovery, rate-limited Worthes/CVE-2026-119977-WordPress-Upgrade-RCE-Bypasses-7.1.4↗★ 6 · 11/4 作成 · 攻撃コードらしいBlackHatExploitation/CVE-2026-119977↗★ 0 · 11/10 作成 · 攻撃コードらしいWordPress Core RCE via Predictable Staging Path (CVSS 8.1)lysophavin18/CVE-2026-119977↗★ 5 · 11/4 作成 · その他BugStealers/CVE-2026-119977↗★ 2 · 11/8 作成 · その他paulmann/Bash_WP-CLI_Update↗★ 1 · 11/15 作成 · その他Bash + WP-CLI maintenance for fleets of WordPress sites: core, plugin and theme updates, backups with a restore path, JSON reports, CVE-2026-119977 assessment and hardening.mehmet-emir-eroglu/CVE-2026-119977↗★ 1 · 11/8 作成 · その他Read-only local WordPress version assessment for CVE-2026-119977.foxcornlab/wordpress-core-scanner↗★ 0 · 11/4 作成 · その他Detection-only local triage scanner for CVE-2026-119977 (CISA KEV 2026-11-03) in WordPress Core: grades versions 4.7-7.1.3 against per-branch fixes (7.1.4 and backports) and flags wp-content/upgrade eriabinov/CVE-2026-119977↗★ 0 · 11/7 作成 · その他
経過
2026年10月31日・一次情報
脆弱性が公開された
2026年11月3日・悪用確認
CISA が KEV に追加（悪用を確認）（Bluesky で元の投稿に返信）
2026年11月4日・PoC
GitHub に PoC が出た（未検証）（Bluesky で元の投稿に返信）
影響する版
WordPress Foundation WordPress範囲は告知を確認