WordPress サイトが Brotli の欠陥で停止の恐れ
原題：WordPress doesn’t ship Brotli. It’s still exposed to CVE-2026-111497
何が起きた
WordPress は Brotli を同梱しませんが、OS の libcurl 経由で使うため、認証なしの xmlrpc.php へのピングバック1回でワーカーを落とされる恐れがあります。CISA は悪用を確認済みとしており、公開されている手法はサービス停止までで、コード実行は未確認です。
誰に影響
- WordPress でサイトを運営している人
- Docker の wordpress イメージを使う人
- URLを取得するプラグインを入れている人
何をすべき
OS の libbrotli1 を修正版パッケージに更新（Docker は自前レイヤーで更新）。すぐ更新できない場合は、curl の自動解凍を止める http_api_curl フィルタ追加と、pingback.ping の無効化または xmlrpc.php のサーバー側ブロックを行う。
対象の製品と版
| 製品 | 影響する版 | 修正版 |
|---|---|---|
| Brotli (libbrotli) | 1.0.3〜1.2.0 | 1.0.10 / 1.1.1 / 1.2.1（Debian・Ubuntu はバックポート版パッケージで確認） |
| WordPress 公式 Docker イメージ (wordpress:latest) | 記事時点で脆弱な libbrotli1 を含む | 要確認（基盤イメージ再構築まで、自前レイヤーで libbrotli1 を更新） |
この FLAG にした理由
CISA KEV に掲載（悪用確認済み）かつ重大な影響
赤旗：中断 — 悪用が確認され、影響が大きいもの。CISA KEV への掲載か、一次資料の記述で確認できたときだけ付けます。
出典・参考リンク
更新の履歴（4）
- RED FLAGスコープ拡大：WordPress が libcurl 経由で Brotli を使うため、xmlrpc.php のピングバック（認証不要）などから到達可能と判明。公開PoCはクラッシュ（サービス停止）までで、コード実行は未確認。修正版の追加情報（wordpress:latest イメージは未修正、Debian/Ubuntu はバックポート）も反映。
- RED FLAGCISA KEV に登録され、悪用が確認された（従来は悪用情報なし）。コードを DOUBLE_YELLOW から RED 相当の提案へ引き上げ。
- DOUBLE YELLOW FLAGスコープ拡大：PHP の Windows 版ビルドも影響を受けることが判明し、修正済みビルド（8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1）が公開された。悪用状況は変わらず不明（none_known）。
- DOUBLE YELLOW FLAG初報