2026年9月、Webサイトや企業ホームページなどで広く利用されている「WordPress」に、重大なセキュリティ脆弱性「CVE-2026-87902」が確認されました。

WordPress公式は、今回の脆弱性を修正したWordPress 7.1.2を2026年9月22日に公開し、セキュリティリリースであることから、サイトを直ちに更新するよう推奨しています。

また、脆弱性を悪用しようとする探索活動が、修正版の公開後まもなく確認されています。WordPressを利用している企業・団体は、早急にバージョンをご確認ください。

■ 今回の脆弱性「CVE-2026-87902」とは？

CVE-2026-87902は、WordPress本体のページテンプレート処理に存在する脆弱性です。

攻撃者が認証（ログイン）を行わなくても、特定の条件下でWordPressに本来想定されていないPHPファイルを読み込ませることが可能となる問題です。

さらに、サーバー環境や使用しているテーマなどの条件が重なると、「サーバー上で任意のコードを実行される可能性（RCE：Remote Code Execution）」があります。

つまり、「WordPressの管理画面にログインされなければ大丈夫」とは言い切れない点が今回の脆弱性の重要なポイントです。

■ どのWordPressが対象？

今回の脆弱性は、WordPress 4.7.0～7.1.1が対象とされています。

WordPress公式では、最新の7.1系については7.1.2で修正されています。

また、旧バージョンを利用している場合にもセキュリティ修正版が提供されています。

例えば、以下のような修正版が公開されています。

利用している系列	修正版
WordPress 7.1系	7.1.2
WordPress 7.0系	7.0.6
WordPress 6.9系	6.9.9
WordPress 6.8系	6.8.10
WordPress 4.7系	4.7.37

旧バージョンについても修正がバックポートされていますが、WordPress公式は最新バージョンの利用を推奨しています。

※上記は2026年9月25日時点で確認できる情報です。利用しているWordPressのバージョンや環境によって対応方法が異なる場合があります。

■ WordPressを利用している方に確認してほしいこと

まずは以下の3点をご確認ください。

STEP 1　WordPressのバージョンを確認

WordPressの管理画面にログインし、「ダッシュボード」→「更新」から現在のWordPressバージョンを確認してください。WordPress公式でも、管理画面から「更新」→「今すぐ更新」を選択してアップデートする方法が案内されています。

STEP 2　修正版へアップデート

対象バージョンを利用している場合は、バックアップやサイトへの影響を確認したうえで、修正版へのアップデートを実施してください。

特に企業サイトでは、WordPress本体だけでなく、

使用しているテーマ
プラグイン
PHPなどのサーバー環境
独自に追加したプログラム

などとの互換性にも注意が必要です。

単純にアップデートボタンを押すだけではなく、「事前にバックアップを取得してから作業すること」をおすすめします。

STEP 3　「更新したから終わり」にしない

今回のような重大な脆弱性では、修正版への更新だけでなく、すでに不正アクセスを受けていないかを確認することも重要です。

特に、アップデート前からインターネット上に公開していたサイトについては、

不審な管理者アカウントが作成されていないか
見覚えのないプラグインやテーマが追加されていないか
Webサイトの内容が勝手に変更されていないか
不審なPHPファイルが追加されていないか
Webサーバーのアクセスログに不審なアクセスがないか

などを確認することが望まれます。

ニュージーランドNCSCも、影響を受けるWordPressについて、修正版への更新とあわせて不正アクセスや侵害の有無を調査するよう案内しています。

■ まとめ

今回のCVE-2026-87902は、WordPress本体に存在するセキュリティ上の脆弱性です。

WordPress公式から修正版が公開されているため、WordPressを利用している企業・団体は、まず現在のバージョンを確認し、対象となる場合は早めにアップデートすることが重要です。

また、今回の脆弱性は、使用しているテーマやサーバー環境など、一定の条件が重なった場合に、サーバー上で任意のコードを実行される可能性があります。

WordPressを利用している方は、以下の項目を確認しておきましょう。

□ WordPressのバージョンを確認する
□ セキュリティ修正版へアップデートする
□ テーマやプラグインの更新状況を確認する
□ アップデート前にバックアップを確認する
□ 不審な管理者アカウントやファイルがないか確認する
□ 必要に応じてWebサーバーのアクセスログを確認する

なお、WordPress本体をアップデートする際には、使用しているテーマやプラグインとの互換性によってWebサイトの表示や機能に影響が出る場合があります。

企業のホームページなど、業務に関係するWebサイトについては、バックアップを確保したうえで、現在の構成や運用状況を確認しながら慎重に対応することをおすすめします。

セキュリティ対策は、一度アップデートすれば終わりではありません。WordPress本体だけでなく、テーマ、プラグイン、サーバー環境などを継続的に確認し、最新のセキュリティ情報を把握することが大切です。

※本記事は2026年9月25日時点で確認できる情報をもとに作成しています。WordPressやテーマ、プラグイン、サーバー環境などの構成によって、影響や必要な対応が異なる場合があります。最新情報については、WordPress公式などの情報をご確認ください。

参考情報

WordPress公式「WordPress 7.1.2 Release」
WordPress公式「Version 7.1.2」
WordPress公式日本語版「WordPress 7.1.2 リリース」
Patchstack「CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch」

※本記事は2026年9月25日時点で確認できる情報をもとに作成しています。WordPressやプラグイン、テーマ、サーバー環境の構成によって影響や必要な対応が異なる場合があります。

お知らせ