WordPressコアに未認証RCEの脆弱性、更新中の隙を狙う攻撃が24時間で約6.3万件発生

The Hacker Newsの報道によると、WordPress Coreバージョン4.7から7.1.3において、未認証の外部攻撃者がサーバー上で任意のコードを実行できる脆弱性が確認されました。2026年10月28日に修正パッチが公開された直後から悪用を試みる動きが急増し、わずか24時間で62,969件の攻撃が観測されています。本体アップデートの展開中に生じるわずかな時間枠を狙う攻撃であり、放置するとWebサイトの乗っ取りや不正な管理者アカウントの作成につながります。

The Hacker News：WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours

自社のWordPress環境やWebアプリケーションに潜む更新時の不備や外部からの侵入経路が気になる場合は、専門家による脆弱性の洗い出しをおすすめします。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

WordPress Core バージョン4.7から7.1.3
wp-content/upgrade配下のステージング領域にWeb経由で直接PHPアクセスが可能なWebサーバー環境

推奨される対策

WordPress Coreを修正済みバージョンである7.1.4へ直ちにアップデートする
Webサーバーのアクセスログで、wp-content/upgrade配下のPHPファイル（setup-config.phpなど）に対する不審なリクエストがないか確認する
WordPressの管理画面を確認し、身に覚えのない管理者アカウント、未知のプラグイン、不審なPHPファイルが追加されていないか点検する

この記事に出てくる専門用語

RCE（リモートコード実行）：攻撃者がネットワーク経由で遠隔地から任意のプログラムを実行できる脆弱性です。今回の脆弱性では、認証を持たない攻撃者がWebサーバー上でPHPコードを実行できる危険性があります。
レースコンディション（競合状態）：複数の処理が重なるタイミングの隙間を突いて意図しない動作を引き起こす現象です。今回はWordPress本体の解凍から一時ファイル削除までのわずかな時間差が悪用されています。
CVSS（共通脆弱性評価システム）：情報システムの脆弱性の深刻度を同一の基準で数値化する指標です。本件のスコアは8.1と高く、悪用された場合の影響が大きいことを示しています。

WordPressコアの更新展開時にコード実行が発生する仕組み

Wordfenceの報告によると、今回の脆弱性はWordPress Coreのフルパッケージ更新時に用いられるステージングディレクトリの仕様に起因します。影響を受けるバージョンでは、更新パッケージを展開する際、wp-content/upgrade配下に予測可能な名前のディレクトリを作成し、一時的にインストーラーを含むファイルを配置します。

多くのサーバー構成において、この一時ステージング領域は外部のWebブラウザから直接アクセス可能な状態にあります。攻撃者は本体の解凍処理が行われるわずかなタイミングを狙い、外部からインストーラーに対してHTTPリクエストを送信することで、認証を経由せずにサーバー上でPHPコードを実行させます。

このレースコンディションを成立させるには、一時ファイルが消去される前の短い時間枠に正確にリクエストを到達させる必要があります。私たちホワイトハッカーの視点では、通常は数秒しか存在しない一時ファイルを狙う攻撃は自動化ツールによる連続試行が前提となるため、ログ監視による検知が防御の鍵になります。

パッチ公開直後から24時間で6万件以上の試行が確認された状況

The Hacker Newsの報道によると、WordPress向けの修正パッチが2026年10月28日に公開された直後から、野外での攻撃試行が急速に活発化しました。セキュリティ企業のWordfenceは、パッチ公開後の24時間だけで本脆弱性を標的とした攻撃を62,969件ブロックしたと発表しています。

観測された攻撃ログの分析では、攻撃元の上位2グループが特定のサイト群に対して約14.5時間にわたり繰り返しポーリングを行っていました。短時間のアップデート処理が発生する瞬間を捉えようと、setup-config.phpなどのファイルパスへ継続的にリクエストを送り続けていたことが判明しています。

さらに他の攻撃元からは、ステージングディレクトリ名やバージョン名のバリエーションを網羅的に探索する動きも確認されました。攻撃者側がレースコンディションの発生条件を即座に把握し、ツールを用いて機械的な総当たり攻撃を展開している様子が鮮明になっています。

WordPress管理者が直ちに実施すべき更新と侵害痕跡の確認手順

WordPressサイトを運用している組織は、まず本体バージョンを確認し、修正版であるWordPress 7.1.4へのアップデートを速やかに完了させる必要があります。攻撃者はすでに広範な探索を行っており、アップデート前の古いバージョンのまま放置することは極めて危険です。

更新作業と並行して、すでに攻撃の標的となっていた形跡がないか点検します。私たちなら、まずWebサーバーのアクセスログを開き、wp-content/upgrade配下のPHPファイル宛てに不審なアクセスが集中していなかったかを調査します。

WordPressの管理画面上でも詳細な確認を進めます。具体的には以下の箇所を重点的にチェックします。

登録ユーザー一覧に、身に覚えのない管理者（Administrator）権限のアカウントが存在しないか
インストール済みプラグイン一覧に、導入した記憶のない不審なプラグインが追加されていないか
サーバー上のディレクトリに、意図しない見慣れないPHPファイルが作成されていないか

不審なファイルやアカウントが見つかった場合は、すでにバックドアが設置されている可能性を視野に入れ、サーバーの隔離やバックアップからの安全な復旧作業へと手順を進めます。

参考文献・記事一覧

The Hacker News「WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours」

WordPress本体やプラグインの運用保守において予期せぬ侵入経路が残っていないか不安な場合は、Webアプリケーション診断の実施をご検討ください。

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。