特に重要なセキュリティ欠陥・ウイルス情報

攻撃者が WordPress の脆弱性 CVE-2026-119977 を悪用中なのだそうです。

最新の WordPress（7.1.4 / 7.0.8 / 6.9.11 / 6.8.12 / 6.7.11 / 6.6.11 / 6.5.14 / 6.4.14 / 6.3.14 / 6.2.15 / 6.1.16 / 6.0.18 / 5.9.20 / 5.8.19 / 5.7.21 / 5.6.23 / 5.5.24 / 5.4.25 / 5.3.27 / 5.2.30 / 5.1.28 / 5.0.31 / 4.9.35 / 4.8.34 / 4.7.39）で修正されています。

• 自動的に更新されているはずですが、WordPress ご利用の方は、上記バージョンになっていることをご確認ください。
• 7.0.x 以前をご利用の方は、7.1系最新（7.1.4）へのアップグレードをご検討ください。

ページテンプレートの解決における認証不要のパストラバーサルにより、条件付きRCEが発生する

• Unauthenticated path traversal in page-template resolution leading to conditional RCE

特定の条件を満たすと無認証でパストラバーサルが可能となり、ひいては RCE （リモートからのコードの実行）が可能となる欠陥です。

4.7以降の全ての WordPress に欠陥があり、4.7.37 / 4.8.32 / ... / 7.0.6 / 7.1.2 で修正されています（上記リンクにバージョンの一覧があります）。通常は最新版（または各ブランチの最新版）に自動更新されているはずですが、WordPress ご利用の方はご確認ください。

Apple から iOS / iPadOS, macOS, tvOS, watchOS, visionOS, Safari の更新版が公開されました。iOS /iPadOS / macOS / tvOS / watchOS / visionOS 26.3 についてはゼロデイ脆弱性 CVE-2026-20700 の修正が含まれています。

• Appleのセキュリティリリース (Apple)

iOS /iPadOS 18.7.5 および macOS 15.7.4 / 14.8.4 ではゼロデイ脆弱性の修正が間に合っておらず残存したままと考えられます。バージョン 26.3 に対応した機種をご利用の方は、26.3 へのアップグレードをご検討ください。

Microsoft から2026 年 2 月のセキュリティ更新プログラム (月例)が公開されました。

• 2026 年 2 月のセキュリティ更新プログラム (月例) (Microsoft)

今回はゼロデイ脆弱性の修正が多くあり、しかも電子メールの添付ファイルや web 上の公開ファイルなどを使った攻撃に悪用できるものが複数含まれています。できるだけ早期の適用を推奨します。

コンテンツ管理システム WordPress 6.9 が公開されています。最新の Stable リリースです。

• WordPress 6.9 “ジーン”

WordPress 利用者は 6.9 にアップグレードしてください。