WordPress 本体 CVE-2026-119977ほか2件 — 11月4日の脆弱性まとめ（悪用確認1件）
WordPress 本体 CVE-2026-119977 が悪用確認。7.1.4 以降へ更新し、完了後の版表示を今日確認する。Chrome 157 は 157.0.8103.38 以上へ更新・再起動。Android は 11月分のパッチレベル 2026-11-05 を確認。後者2件は悪用の言及なし。
WordPress 本体を使っている会社は、今日中に WordPress 7.1.4（使っている系統の最新版）へ更新し、更新が完了して管理画面の版表示が変わったことを確認する。 WordPress 本体の CVE-2026-119977 は、米 CISA が11月3日に「悪用が確認された脆弱性」の一覧（KEV）へ追加した。更新の最中に認証なしで遠隔からコードを実行され得る欠陥で、担当者や制作会社に更新状況を聞くのが最初の一手になる。あわせて Google Chrome 157 と Android の11月分も整理した。この2件は、公式に悪用の言及はない。
11月4日（JST）に確認した CISA KEV、NVD、WordPress 公式ニュース、Wordfence、Chrome Releases、Android セキュリティ情報に基づく。明記のない点は「記載なし」とする。本日の3件のうち、悪用が確認されているのは1件（WordPress）である。
今日の脆弱性一覧
| 製品 | CVE | 深刻度（CVSS） | 悪用状況 | 対処（修正版） |
|---|---|---|---|---|
| WordPress 本体 | CVE-2026-119977 | 8.1 High（Wordfence 付与） | CISA KEV に追加（11/3）。悪用確認 | 7.1.4 以降（各系統の最新版） |
| Google Chrome 157 | CVE-2026-121156 ほか Critical 7件（213件の修正） | CVSS は非公表。Google 独自評価で Critical 7件 | 言及なし | 157.0.8103.38 以上へ更新・再起動 |
| Android 2026年11月 | CVE-2026-58868 ほか（Critical 多数） | Critical を含む（公式の重大度表記） | 限定的・標的型の悪用の言及なし | パッチレベル 2026-11-05 以降 |
1. WordPress 本体 CVE-2026-119977 — 更新の最中を狙う、悪用確認済みの欠陥
NVD に載る CVE の記述（CNA は Wordfence）によると、WordPress 本体は 4.7 から 7.1.3 までの版で遠隔コード実行の脆弱性がある。原因は、本体をフルパッケージで更新するときに使う作業用の場所（ステージング用のパス）が予測可能で、Web から到達できることだと説明されている。このため、認証なしの攻撃者が、更新を行っている短い時間に、サーバー上でコードを実行できる可能性がある。CISA はこの欠陥を、時間差を突く競合状態（TOCTOU）の脆弱性として KEV に載せた。
- 何が起きるか: 更新の「最中」に、外部の第三者がサーバー上でプログラムを動かせる。Web サイトの改ざんや情報の持ち出しにつながり得る。古い版から一括で更新するときが対象になる
- 深刻度: CVSS 3.1 で 8.1（High）。付与元は Wordfence。ベクターは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H で、攻撃の複雑さが高い（条件が厳しい）と評価されている。弱点の分類は CWE-367。CISA の SSVC（優先度判断）では exploitation=active（悪用が進行中）
- 影響バージョン: 4.7.0 から 7.1.3 までの各ブランチ。例として 7.1.0〜7.1.3、7.0.0〜7.0.7、6.9.0〜6.9.10、6.8.0〜6.8.11 があり、古い側は 4.7.0〜4.7.38 まで
- 修正版: WordPress 7.1.4（10月28日リリース）。公式は「すぐに更新を推奨」としている。4.7 までの全ブランチへバックポートした修正版が順次リリースされると、公式が明記している。4.6 以前はセキュリティ更新の対象外
- 悪用: CISA KEV に11月3日付で追加された。米連邦機関の対応期限は11月6日。ランサムウェアでの利用は Unknown（不明）
- 同時に直った問題: 7.1.4 は、ブロック・Interactivity API・Customizer・ユーザーログイン名などの保存型 XSS（ページに仕込まれた悪意あるスクリプトが他の閲覧者の画面で動く問題）を多数修正した。Customizer の未公開の変更セットが認証なしで見つかる問題と、権限のない特権ユーザーが投稿のノートを読める問題も修正している。ルート証明書の更新（eMudhra の失効対応）も入った
平易に言うと、更新作業の途中で一瞬だけ「玄関の鍵が開く」ような種類の欠陥である。常に侵入できる穴とは性質が異なるが、更新は定期的に行うもので、攻撃者はその時間を狙える。だからこそ、更新を完了させ、完了後の状態を確認することが対処の中心になる。
確認方法: WordPress の管理画面にログインし、ダッシュボードの「更新」画面か画面下部で版を確認する。7.1.4 以降（7.0 系・6.9 系などを使う場合は、その系統の修正版）になっていれば対処できている。自動更新が有効でも、完了しているかは必ず見る。担当者や制作会社に任せている場合は、更新した日付と版のスクリーンショットをもらうとよい。更新後は、不審な管理者アカウントや、身に覚えのないファイルがないかも点検する。過去の WordPress の遠隔コード実行の事例はWP2Shell の対処記事、保守を後回しにするリスクはWordPress 保守のリスクを参照。公式: WordPress 7.1.4 のお知らせ、CISA KEV、NVD、Wordfence
2. Google Chrome 157 — 213件の修正と Critical 7件（悪用の言及なし）
Google は11月3日、Chrome 157 を Stable チャンネルに昇格した。バージョンは Linux が 157.0.8103.38、Windows と Mac が 157.0.8103.38/.39 で、数日から数週間かけて順次配信される。セキュリティ修正は213件で、そのうち Critical は7件。Chrome は CVSS を公表せず、Google 独自の深刻度（Critical・High など）で表記している。Google は、これらの欠陥が実際に悪用されているとは書いていない。
- Critical の内訳: CVE-2026-121156（Dawn のバッファオーバーフロー）、CVE-2026-121229（ANGLE のメモリ破損）、CVE-2026-121246（WebGL の解放後使用）、CVE-2026-121035（Prerender の解放後使用）、CVE-2026-121247（Dawn のバッファオーバーフロー）、CVE-2026-121203（Geometry の解放後使用）、CVE-2026-121126（Core の解放後使用）
- 影響: 157.0.8103.38 より前の Chrome。いずれもメモリ関連の欠陥で、個別の悪用条件は Google の告知には書かれていない
- 修正版: 157.0.8103.38 以上（Linux）、157.0.8103.38/.39 以上（Windows・Mac）
- 悪用: Google は「悪用が確認されている」とは書いていない
確認方法: Chrome の右上「︙」→「ヘルプ」→「Google Chrome について」を開く。157.0.8103.38 以上と表示され、再起動が済んでいれば対処できている。更新の適用には再起動が必要で、開きっぱなしのブラウザは古いままになりやすい。Edge など Chromium 系のブラウザは、各社が別に更新を出すため、それぞれの更新を確認する。公式: Chrome Releases
3. Android 2026年11月セキュリティ情報 — Critical 多数（悪用の言及なし）
Android は11月2日に月例のセキュリティ情報を公開した。パッチレベルは 2026-11-01 と 2026-11-05 の2段で、2026-11-05 以降の端末であれば、その月の全件に対処済みとなる。公式は、限定的・標的型の悪用に言及していない。
- Framework の RCE: CVE-2026-58868（Critical）。公式の記載では、追加の実行権限もユーザー操作も不要
- System の RCE: CVE-2026-58876、CVE-2026-58936（いずれも Critical）
- System の権限昇格: CVE-2026-55275、CVE-2026-55283、CVE-2026-58984。System のサービス拒否（DoS）: CVE-2026-58814、CVE-2026-58882
- Kernel などの権限昇格: CVE-2026-53256、CVE-2026-89774（Bluetooth）、CVE-2026-59044・CVE-2026-59045（pKVM）、CVE-2026-80604（HID）
- そのほか、MediaTek のモデムと Qualcomm の部品にも、Critical の項目が多数ある
- 修正版: パッチレベル 2026-11-05 以降
- 悪用: 公式は限定的・標的型の悪用に言及していない
確認方法: 端末の「設定」→「セキュリティ」（端末により「デバイス情報」）→ Android セキュリティ アップデートの日付が 2026-11-05 以降か確認する。端末への配信時期はメーカーやキャリアで異なるため、まだ届いていない場合は、配信状況を各社の案内で確認する。会社支給のスマートフォンは、台帳でどの端末が古いかをまとめて把握しておくとよい。公式: Android セキュリティ情報（2026年11月）
非IT担当者向け: 今日やることチェックリスト
- 会社の Web サイトが WordPress かどうかを、担当者か制作会社に確認する。WordPress なら、版が 7.1.4 以降（使っている系統の最新版）か聞く
- 更新した日付と、更新後の版が分かる画面を共有してもらう
- 自動更新を使っている場合も、更新が完了しているかを確認する
- 管理者アカウントに、身に覚えのないユーザーがいないか点検を依頼する
- 社内のパソコンの Chrome で「Google Chrome について」を開き、157.0.8103.38 以上へ更新して再起動する
- 会社支給の Android 端末のセキュリティ アップデートの日付を確認する。2026-11-05 より前なら、配信状況をメーカーかキャリアに確認する
- 対応した日付と担当者を記録する
関連記事: WordPress の WP2Shell（CVE-2026-63030）の対処、WordPress 保守のリスク、PHP の重大な脆弱性（CVE-2026-109618／109619）の対処。自社の脆弱性診断の費用感は脆弱性診断の費用を参照。
出典
- CISA KEV: CVE-2026-119977
- NVD: CVE-2026-119977
- WordPress.org: WordPress 7.1.4
- Wordfence: CVE-2026-119977
- Chrome Releases: Stable Channel Update for Desktop
- Android Security Bulletin（2026年11月）
WordPress を更新したのに、まだ危険ということはありますか。
更新が途中で止まったり、管理画面の表示が古い版のままだったりすると、対処できていない。更新後に管理画面のダッシュボードで版が 7.1.4 以降（お使いの系統の最新版）になっていることを確認する。自動更新を有効にしている場合も、完了したかどうかは確認する。
7.1 系ではなく 6.9 系や 6.8 系を使っています。どうすればよいですか。
公式は、7.1.4 の修正を 4.7 までの全ブランチへバックポートし、順次リリース中だと明記している。使っている系統の最新版へ更新する。4.6 以前はセキュリティ更新の対象外なので、新しい系統への移行を検討する。
CVSS が 8.1 なら、Critical ではないので後回しでよいですか。
後回しにしない。CVSS は攻撃の難しさ（今回は条件が厳しいと評価され AC:H）を織り込んだ数値だが、CISA は実際に悪用されている脆弱性として KEV に載せている。悪用が確認された脆弱性は、数値より優先して対処する。
Chrome 157 の更新は今すぐ必要ですか。
Google は悪用が確認されているとは書いていない。ただし Critical が7件含まれ、修正は213件にのぼる。自動で配信されるのを待たず、「Google Chrome について」を開いて更新と再起動を済ませる。Edge など Chromium 系のブラウザも、各社の更新を確認する。
Android の「パッチレベル 2026-11-05」とは何ですか。
Android の月例セキュリティ情報は、2026-11-01 と 2026-11-05 の2段に分かれている。2026-11-05 以降の端末であれば、その月の全件に対処済みという意味になる。端末への配信時期はメーカーやキャリアで異なるため、設定画面で日付を確認する。
この記事に関連する無料ツール（登録不要・その場で結果）
お気軽にご相談ください
お問い合わせ