WordPress 本体にすでに悪用されている脆弱性、更新中に不正実行の恐れ

米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は米国時間の2026年11月3日、実際に悪用が確認された脆弱性カタログ（KEV）に WordPress 本体の新たな脆弱性を追加しました。連邦政府機関に対して迅速な修復を義務づけるとともに、全ての組織に向け、リスクに基づく脆弱性管理の徹底を促しています。

今回見つかったのは、WordPress コアにおける「タイムオブチェック・タイムオブユース（TOCTOU）」と呼ばれる競合状態の欠陥です。これは、プログラムが「問題ないか確認した時点」と「実際に使う時点」の間に生じるわずかな時間差を利用し、中身をすり替えられてしまう問題を指します。本脆弱性では、WordPress の更新処理中において、新しいファイルの一時的な保存先（パス）が外部から推測でき、Web経由でアクセス可能になってしまう状態が発生します。このタイミングを狙われると、攻撃者に認証なしでサーバー上の任意のコードを実行される重大なリスクにつながるため、修正版への即時の更新が強く呼びかけられています。