WordPressの脆弱性CVE-2026-87902｜悪用確認・条件と修正版・自動更新の確認

CVE-2026-87902は、WordPress本体の get_page_template() によるページテンプレートの解決で、認証されていない攻撃者が、使っているテーマのフォルダの外にある読み取り可能な.phpファイルを選んで読み込ませられる脆弱性（CWE-98）です。サーバーとテーマの両方の条件がそろうと、リモートでコードを実行されるおそれがあります。[2]

WordPressは2026年9月22日に7.1.2を公開し、深刻度をCritical、CVSS v4の基本値を9.2としています。CVE記録には、米CISAがCVSS v3.1の基本値8.1を追記しています。[1][2][4]

コード実行に至るのは、次の2つの条件がそろうときです。[2]

1. 使っているテーマ（親テーマか子テーマ）の一番上に、名前が「page-」で始まるフォルダ（例：page-templates）がある。古い既定のテーマのTwenty Twelve・Twenty Fourteenと、Neve・Hestia・Sydneyなど一部の配布テーマが当てはまります。
2. サーバー上に、Webサーバーのアカウントで読める悪用できる.phpファイルがある。よく知られる例は、PHPの設定 register_argc_argv が On のときの pearcmd.php です。PHPの公式のDockerイメージと、PHP 8.5より前を使うcPanelの既定の設定が当てはまります。

条件の当てはまりを自分で判断するより、修正版に上げる方が確実です。修正版はすべての系列に出ています。[1][2]

米CISAは2026年9月25日（米国時間）に、CVE-2026-87902をKEVへ追加し、米連邦政府機関の対応期限を9月28日としました。KEVでは、更新の前に侵害の有無を調べる対象（Forensic Triage）にも指定されています。[3]

2026年11月2日に確認した時点で、JPCERT/CCとIPAの注意喚起の一覧にこの脆弱性はありません。

WordPressのアドバイザリに、攻撃された場合の痕跡の記載はありません。[2]米CISAはKEVでこの脆弱性を、更新の前に侵害の有無を調べる対象に指定しています。CISAが米連邦政府機関向けに示す手順では、更新すると痕跡が失われるおそれがあるため、記録を先に集めてから更新し、次の点を調べます。[3][8]

1. 更新を入れる前に、調べるのに要る記録（サーバーのアクセスログ・エラーログ、ファイルの一覧など）を集め、何をいつ誰が集めたかを記録する
2. サイトやサーバー、管理者のアカウントへの許可のないアクセスが無いか
3. サーバーからほかの機器へ広がった形跡が無いか
4. 居座るための仕掛け（永続化）が残っていないか
5. データを集めて持ち出した形跡が無いか

対象は7.1.0〜7.1.1と、4.7系列までの各系列の古い版です。修正は7.1.2に入り、4.7系列までの各系列にも移されました。[1][2]その後も7.1.3（10月6日）・7.1.4（10月28日）のセキュリティ更新が出ているため、使っている系列の最新版まで上げます。[9][5][7]

1. 管理画面（ダッシュボード）の「更新」を開き、いまの版と更新の有無を確かめます。[1]
2. 「今すぐ更新」を押して更新します。WordPress.orgから修正版を入手して入れ替えることもできます。[1]
3. 更新後にもう一度「更新」を開き、表の修正版以上になったことを確かめます。
4. 制作会社・保守の会社に頼むときは、サイトのURLと管理画面の場所、いまの版、使っているテーマ（親テーマ・子テーマ）、更新前にバックアップと記録を取ることを伝えます。

自動のバックグラウンド更新に対応したサイトでは、この修正版への更新は自動で始まります。[1]WordPressの説明では、既存のサイトは保守・セキュリティの小さな版（マイナー版）の自動更新が既定で有効で、5.6以降で新しく入れたサイトは、バージョン管理の作業コピーで動かしている場合を除き、大きな版も既定で自動更新されます。[6]

ただし、wp-config.php で AUTOMATIC_UPDATER_DISABLED を true にしている、または WP_AUTO_UPDATE_CORE を false にしていると、自動更新は止まります。プラグインのフィルターで止めることもできます。自動更新に任せていると思っていても、管理画面の「更新」で実際の版を確かめます。[6]

レンタルサーバーで動かしている場合も、自動更新の設定と実際の版を同じように確かめます。cPanelの既定の設定でPHP 8.5より前を使っていると、コード実行の条件の1つに当てはまります。[2]

WordPressのアドバイザリとリリースの告知に、回避策の記載はありません。修正版はすべての対象の系列に出ているため、更新が対策です。[1][2]

修正は4.7系列まで移されていますが、WordPressは、積極的にサポートしているのは最新の版だけだとしています。[1]4.7より前の版は、WordPressのアドバイザリの表にはありません。CVE記録は7.1.2より前の版をすべて対象とし、米国の脆弱性データベース（NVD）も4.7.37より前の版を対象にしています。セキュリティの修正が移されるのは4.7系列までで、4.7より前の版の修正版はアドバイザリに記載がありません。修正版のある系列か、最新の系列へ上げます。[2][4][10][1]