公開情報によると、欠陥はコアのアップグレード窓におけるTOCTOU（Time-of-check to time-of-use）競合で、未認証の攻撃者がリモートからコードを実行できる。CISAがKEVに載せたことは、実際の悪用が確認されたことを意味し、連邦機関向けには期限付きの緩和が求められる。WordPress利用者は影響を受けるコア版を確認し、修正済みバージョンへの更新を優先する必要がある。サイト運用者向けの検知・修正手順をまとめた技術記事も複数出ている。
CISA、WordPress CoreのTOCTOUによるRCE（CVE-2026-119977）をKEVに追加 4.7〜7.1.3で悪用確認
## POINTS
- CVE-2026-119977はWordPress Core 4.7〜7.1.3のアップグレード処理付近のTOCTOU。
- 未認証でのリモートコード実行が確認され、CISA KEVに追加された。
- 影響版を使うサイトは修正済みコアへの更新を優先する。