WORDPRESS SECURITY

WordPress CoreのCVE-2026-87902、探索段階からコード実行攻撃へ進展

Critical 実攻撃を確認

「WordPress Core」の脆弱性情報（CVE-2026-87902）。影響バージョンはWordPress 4.7.0〜7.1.1の各影響系列。修正版 7.1.2（旧系列は各バックポート修正版）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年10月1日

対象製品: WordPress Core（WordPress本体）
CVE: CVE-2026-87902
CVSS / 深刻度: 9.2 / Critical
影響バージョン: WordPress 4.7.0〜7.1.1の各影響系列
修正版: 7.1.2（旧系列は各バックポート修正版）
脆弱性種別: 未認証Path Traversal / Local PHP File Inclusion / 任意PHPファイル書き込み / Remote Code Execution

脆弱性の概要

CVE-2026-87902の攻撃活動が、初期の脆弱性確認プローブから実際のコード実行を狙う段階へ進展しました。Patchstackは攻撃者制御のPHPファイルを書き込む攻撃を観測しており、公開スキャンツールも流通しています。前回登録時の探索中心の状況から明確な重大変化です。

技術的な内容

Patchstackは2026年9月23日の更新で、攻撃が脆弱性確認だけでなく、ローカルPHP実行機構を悪用した任意PHPファイル書き込みへ進展したと報告しています。PHPファイル書き込みが成功したホストは侵害済みとして扱うべきとしています。

悪用状況

実攻撃を確認

推奨対応

WordPressを7.1.2以上へ直ちに更新してください。旧系列を維持する場合は各系列のバックポート修正版へ更新してください。脆弱版を公開していた場合は、異常なテンプレート関連アクセス、不審なPHPファイル、未知のAdministratorやプラグイン変更を確認してください。侵害の兆候がある場合は管理者資格情報、WordPress認証キー・salt、ホスティング関連資格情報をローテーションし、バックドアや永続化の有無を調査してください。

情報源

情報確認日時：2026年9月26日 06:43

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。