2026年9月22日、WordPressのセキュリティリリースとして「WordPress 7.1.2」が公開されました。
今回のアップデートでは、CVE-2026-87902として追跡されている重大なセキュリティ脆弱性が修正されています。
この脆弱性は、認証されていない攻撃者によってWordPressのページテンプレート処理を悪用され、テーマディレクトリの外にあるローカルのPHPファイルを読み込まれる可能性があります。
さらに、サーバー環境や使用しているテーマなどの条件が揃った場合、RCE（リモートコード実行）につながる可能性があります。
WordPress公式も、今回のリリースについて「セキュリティリリース」であるため、サイトをすぐに WordPress 7.1.2 に更新することを推奨しています。
この記事では、CVE-2026-87902の概要、影響を受けるバージョン、攻撃の仕組み、対策について解説していきます。
１．CVE-2026-87902とは
CVE-2026-87902は、WordPress本体に存在するセキュリティ脆弱性です。
WordPress公式によると、認証されていない攻撃者が、特定の条件下でページテンプレートの解決処理に細工した値を利用することで、アクティブなテーマのディレクトリ外にあるローカルPHPファイルを読み込ませることが可能になります。
さらに、サーバー環境と使用しているテーマが特定の条件を満たしている場合、読み込まれたPHPファイルを利用してRCEにつながる可能性があります。
今回の脆弱性は、WordPress 7.1.2 で修正されました。
２．CVE-2026-87902の概要
今回の脆弱性を簡単にまとめると、以下となります。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-87902 |
| 対象 | WordPress本体 |
| 重大度 | 9.2/10 |
| 攻撃に必要な認証 | 不要 |
| 脆弱性の内容 | ページテンプレート処理を利用したローカルPHPファイルの読み込み |
| 最終的な影響 | 条件によってRCEにつながる可能性 |
| 修正版 | WordPress 7.1.2 |
| 公開日 | 2026年9月22日 |
WordPress公式では、今回の脆弱性について「認証されていない攻撃者」による攻撃が可能であると言及しています。
つまり、WordPress管理画面へのログイン権限を持っていない攻撃者であっても、攻撃を試みることができる、ということになります。
参考としてNISTの CVE-2026-87902 のページも掲載しておきます。
３．どのWordPressが影響を受けるのか
CVE-2026-87902 は、WordPress 4.7.0から7.1.1までのバージョンが影響を受けます。
つまり、古いバージョンだけが対象というわけではなく、直前に公開されたWordPress 7.1.1を利用している場合でも、今回の脆弱性の影響を受けます。
そのため、すぐにでも最新のWordPressのバージョンにアップデートすることをおすすめします。
４．CVE-2026-87902は何が危険なのか
今回の脆弱性で特に注意したいのが、認証なしで攻撃できる可能性があることです。
通常、WordPressの管理画面を攻撃する場合、管理者アカウントのパスワードを入手する必要があるケースが多いです。
ですが、今回のCVE-2026-87902は、WordPressのページテンプレート処理が攻撃対象となるため、認証情報の窃取などする必要なく攻撃を試みることができます。
さらに問題なのが、単純なファイル読み込みだけで終わらない可能性がある点です。
サーバー環境やテーマなどの条件が揃うと、最終的にPHPコードを実行されるRCEにつながる可能性があるとWordPress公式でも言及されています。
※RCEとは「Remote Code Execution」の略で、日本語では「リモートコード実行」と呼ばれます。
RCE可能な状態になると、攻撃者がWebサーバー上で任意のコードを実行できる状態になるため、Webサイトの改ざんや不正ファイルの設置など、重大な被害につながる可能性があります。
５．攻撃の仕組み
WordPressでは、アクセスされたページに応じて使用するテンプレートを決定します。
今回の脆弱性は、このページテンプレートを決定する処理にありました。
WordPressには、ページテンプレートを処理する get_page_template() という関数があります。
CVE-2026-87902では、この処理に対して攻撃者が細工した値を利用することで、本来読み込まれるべきではないテーマディレクトリ外のPHPファイルを読み込ませることが可能になります。
イメージとしては、以下のような流れです。
攻撃者が細工したリクエストを送信
↓
WordPressのページテンプレート処理
↓
get_page_template()
↓
想定外のPHPファイルを読み込む
↓
PHPファイルが実行される可能性
↓
条件によってRCE仕組みについては以下に記載されています。
６．対策方法（WordPress 7.1.2 にアップデート）
CVE-2026-87902への基本的な対策は、WordPressを修正版へアップデートすることです。
WordPress公式では、2026年9月22日にWordPress 7.1.2を公開しています。
現在利用しているWordPressのバージョンを確認し、WordPress 7.1.2 になっていない場合には、すぐにアップデートをしましょう。
6-1. アップデート前にはバックアップがおすすめ
特に、以下の項目はバックアップしておくと、アップデート後に不具合などが発生した際に復旧しやすくなります。
- WordPress本体
- データベース
- テーマ
- プラグイン
wp-content配下
6-2. アップデート後の確認も忘れずに
アップデート後は以下の点を中心に最低限の確認をしておくと良いです。
- トップページ
- 個別記事（何個か抜粋）
- 管理画面
- 問い合わせフォーム
- プラグインの動作
７．WordPress本体だけでなくプラグインも確認する
今回の脆弱性はWordPress本体の問題ですが、WordPressサイトでは本体以外にもセキュリティ上の問題が発生する可能性があります。
そのため、今回のアップデートをきっかけに、以下の項目も確認しておくと良いです。
※私も確認しました。
- WordPress本体
- プラグイン
- テーマ
- PHP
- Webサーバー
特に、長期間更新されていないプラグインやテーマを利用している場合は要注意です。
使用していないプラグインについては、停止したままにするのではなく、不要であれば削除することも検討すると良いと思います。
８．まとめ
今回は、WordPress本体の重大な脆弱性であるCVE-2026-87902についてまとめました。
今回の脆弱性では、認証されていない攻撃者がページテンプレートの処理を悪用し、アクティブなテーマのディレクトリ外にあるローカルPHPファイルを読み込ませる可能性があります。
さらに、サーバー環境やテーマなどの条件が揃った場合には、RCEにつながる可能性があります。
そのため、影響を受けるバージョンを使用している場合は、できるだけ早くWordPressを修正版へアップデートするようにしましょう。
WordPressを運営している場合は、今回の脆弱性だけでなく、今後公開されるWordPress本体やプラグインのセキュリティ情報についても定期的に確認することが重要です。
