【緊急】WordPress脆弱性CVE-2026-87902 攻撃継続中・今やるべき対応と確認ステップ
公開日
2026年9月下旬から、WordPress 本体にかつてない深刻度の脆弱性（CVE-2026-87902）が確認され、修正パッチ公開の数時間後から実際の攻撃が観測されています。10月に入ってからも Bricksforge・Super Forms など複数の人気プラグインで CVSS 9.0 超の重大脆弱性が報告されており、「自社サイトは大丈夫か？」と不安を感じている経営者・担当者も多いはずです。
この記事では、ここ数日に報告された WordPress 本体およびプラグインの脆弱性を、技術者でなくても理解できる平易な言葉で整理し、保守運用会社として私たちシエロデザインが実際にクライアント案件で踏んでいる対応手順まで解説します。
CVE-2026-87902 とは — WordPress 本体の “緊急” 脆弱性
CVE-2026-87902 は、WordPress のページテンプレート解決処理に存在するローカルファイルインクルード型の脆弱性です。CVSS v4.0 スコアは 9.2（Critical）。
攻撃者はログイン不要で、有効なテーマディレクトリの外にあるローカル PHP ファイルを WordPress に読み込ませることができます。条件が揃えば任意のコード実行（RCE）に発展し、サーバー乗っ取り・改ざん・マルウェア設置につながります。
- 影響範囲：WordPress 4.7.0 〜 7.1.1 のすべてのバージョン
- 攻撃条件：認証不要（＝誰でも攻撃できる）
- 深刻度：CVSS 4.0 で 9.2（Critical）
- 修正版：WordPress 7.1.2（または旧系列向け修正版）
- 攻撃状況：すでに攻撃継続中（下記参照）
なぜ “今” 緊急なのか
公開済みの脆弱性情報と技術ブログの記録を時系列で並べると、”緊急” である理由が明確です。
| 日付 | できごと | 意味 |
|---|---|---|
| 2026-09-22 | WordPress 7.1.2 公開（修正パッチ） | 攻撃者も脆弱性の存在を把握 |
| 公開数時間後 | 脆弱性を狙うアクセスを多数のサイトで検知 | 自動化スキャナーが稼働開始 |
| 2026-09-23 | 攻撃者が PHP ファイルを書き込もうとする試行を検知 | RCE を狙う本格攻撃フェーズに突入 |
| 2026-10 初旬 | Xserver・IPA 等が注意喚起を相次いで発出 | 日本国内でも感染被害の懸念が顕在化 |
| 2026-10-09 現在 | 攻撃継続中・未アップデートサイトは “いつやられてもおかしくない” 状態 | 即時アップデートが必須 |
特筆すべきは、修正版公開からわずか数時間で実攻撃が始まったという点です。これは “パッチ公開＝攻撃開始の号砲” とも言える状態で、「アップデートは週明けに…」と悠長に構えていると、その週末のうちに侵入されるリスクが現実にあります。
影響を受けるバージョン一覧
自社サイトの WordPress バージョンが下記に該当するか、必ず確認してください。WordPress 管理画面 → ダッシュボード → 右下「WordPress 〇.〇.〇 を実行中」で確認できます。
| 現行バージョン | CVE-2026-87902 | 推奨される対応 |
|---|---|---|
| 4.7.0 〜 6.8.x | ❌ 脆弱 | 最新 7.1.2 への更新（または各系列の最新マイナー） |
| 6.9.0 〜 6.9.4 | ❌ 脆弱（かつ wp2shell にも脆弱） | 6.9.5 以上 or 7.0.2 以上に即更新 |
| 7.0.0 〜 7.0.1 | ❌ 脆弱（かつ wp2shell にも脆弱） | 7.0.2 以上に即更新 |
| 7.1.0 〜 7.1.1 | ❌ 脆弱 | 7.1.2 以上に即更新 |
| 7.1.2 以上 | ✅ 修正済 | 継続して最新を保つ |
WordPress 6.9 系の別脆弱性（wp2shell チェーン）
CVE-2026-87902 と併せて警戒すべきなのが、WordPress 6.9 以降のバージョンに影響する CVE-2026-60137 と CVE-2026-63030 の組み合わせ（通称「wp2shell チェーン」）です。IPA（情報処理推進機構）も 7月時点で注意喚起を発出しています。
- CVE-2026-60137：権限不足のユーザーが特定条件下で管理操作を実行できる脆弱性
- CVE-2026-63030：ファイルアップロード検証の不備
- この 2 件を組み合わせると、認証ユーザーからの RCE が可能になる
- 修正版：WordPress 6.9.5 または 7.0.2 以上
CVE-2026-87902 対応で 7.1.2 に上げれば両方同時に塞がりますが、「どうしても 6.9 系で止めたい」運用の場合は 6.9.5 への更新を優先してください。
10月8日〜9日に報告された要注意プラグイン脆弱性
直近 2 日間でも、使用率の高いプラグインに Critical 級の脆弱性が立て続けに報告されました。
| プラグイン名 | 脆弱なバージョン | CVSS | 対応 |
|---|---|---|---|
| Bricksforge | ≤ 3.1.8.9 | 9.8 | 最新版に即更新 or 一時無効化 |
| Super Forms – Drag & Drop Form Builder | ≤ 6.3.316 | 9.1 | 最新版に即更新 or 一時無効化 |
両プラグインは、デザイナー・LP 制作案件で広く使われているため、知らないうちに自社サイトに導入されているケースもあります。管理画面 → プラグイン一覧で有効化状況を確認してください。
他にも対象プラグインがあれば急いで確認したい重大脆弱性
2026年の夏から秋にかけて、下記のプラグインでも CVSS 9.0 超の重大脆弱性が報告されています。1 つでも使用していれば、必ず最新版への更新を確認してください。
| プラグイン | CVE | CVSS | 内容 |
|---|---|---|---|
| WPMU DEV Dashboard | CVE-2026-76581 | 9.8 | 認証バイパス → 管理者権限奪取 |
| Pods – Custom Content Types and Fields | CVE-2026-19598 | 9.8 | 未認証ユーザーが管理者権限に昇格 |
| GiveWP | CVE-2026-82222 | 10.0 | サーバー上で任意コマンド実行 |
| Kirki Freeform Page Builder | CVE-2026-8206 | 9.8 | パスワードリセット欠陥で管理者乗っ取り |
今すぐやるべき5つの対応ステップ
- WordPress 本体のバージョン確認（管理画面ダッシュボード右下 or `/wp-includes/version.php`）
- 必要であればまずローカル or テスト環境に本番データをコピーして復元（本番直更新は NG）
- テスト環境で WordPress 7.1.2 以上にアップデート → 動作確認（表示崩れ・プラグイン互換性・ログイン・問い合わせフォーム送信）
- プラグイン一覧をチェックし、Bricksforge・Super Forms・WPMU DEV Dashboard・Pods・GiveWP・Kirki を使っていれば同じく最新版へ
- 本番サーバーに適用し、Webサーバーアクセスログで不審アクセスの痕跡を確認（直近1週間分のログを `/wp-content/uploads/` への POST 中心にチェック）
急を要する場合でも「本番直接アップデート」は NG です。弊社でも、ガーデングループ様の 4 サイト（コーポレート・萬馬軒・一竜・山下本気うどん）はすべて「本番 → テスト → 本番差分適用」の 3 段階で運用しています。
シエロデザインが保守案件で実践している4つのチェック（現場の運用）
私たちシエロデザインは、複数の WP 保守案件を運用しているため、脆弱性情報が出るたびに社内で以下 4 項目を機械的にチェックしています。参考までに公開します。
| # | チェック項目 | 方法 | 基準 |
|---|---|---|---|
| 1 | Core バージョン | 管理画面 or `wp cli` で `wp core version` | 最新マイナーリリースと一致 |
| 2 | プラグイン該当有無 | プラグイン一覧 CSV エクスポート → 脆弱性リストと突合 | 該当なし、または全て最新版 |
| 3 | テスト反映 | 本番 DL → ローカル or テスト復元 → アップデート → 画面チェック | 見た目・機能ともに本番と同じ動作 |
| 4 | 本番反映 → ログ確認 | FTP で差分アップ or wp-admin で更新 → アクセスログ 7 日分監査 | 怪しい POST / wp-content/uploads 系の実行跡がない |
これに加えて、Cloudflare 公式 WordPress プラグインを使っている案件では、管理画面が空白になる既知のバグ（v4.12.3〜）に対する 1 行パッチも適用済みです。細かい話ですが、こうした「公開情報には出ない現場知」を積み上げることが、小さな会社の価値だと考えています。
「自社の保守体制でここまで追えていないかも…」と感じた場合は、記事末尾のお問い合わせからご相談ください。
FAQ — よくある質問
Q. 自分のサイトが CVE-2026-87902 の影響を受けているか確認する方法は？
A. 管理画面にログインし、ダッシュボード右下の「WordPress 〇.〇.〇 を実行中」を確認してください。4.7.0 から 7.1.1 のいずれかであれば影響対象です。管理画面にログインできない場合、FTP で `/wp-includes/version.php` を開き、`$wp_version` の値を確認します。
Q. 自動更新がオンになっていれば大丈夫？
A. マイナーアップデート（例：7.1.1 → 7.1.2）は多くの場合自動適用されますが、WordPress 本体の自動更新を無効化しているサイトや、サーバー側の設定で遅延しているケースも少なくありません。「オンになっているつもりで実は止まっていた」事故が頻発するため、必ず目視で現行バージョンを確認してください。
Q. アップデートで既存機能が壊れないか不安です。どうすれば？
A. まず本番と同じ状態をテスト環境（または `localhost` + MAMP）に復元し、そこでアップデート → 画面チェックを行ってから本番適用するのが安全です。制作会社に保守を依頼している場合、この手順は保守会社の標準対応に含まれているはずです。契約内容を確認してください。
Q. ホームページ制作会社に任せきりで、現状がわかりません。何から確認すべき？
A. 保守担当会社に「CVE-2026-87902 の対応状況」と「現行の WordPress バージョン」を 1 行メールで聞いてください。即答できる会社であれば問題なく、「確認します」と数日時間がかかる会社は、残念ながら日常的なウォッチをしていない可能性があります。
Q. アクセスログに不審な通信がないかの見方は？
A. ApacheやNginxのアクセスログで、直近1週間の `/wp-content/uploads/` への POST、`.php` ファイルへの直接アクセス、海外からの連続アクセスを中心に確認します。ログの読み方がわからない場合は、保守会社に「侵害痕跡の有無を調査してほしい」と依頼してください。
Q. 攻撃を受けてしまった可能性がある場合、どう対応すればいい？
A. ①直ちにサイトを一時メンテナンスモードに切替 ②バックアップから復元せず、まず現状の全ファイル・DB をフォレンジック用に保全 ③不審ファイルの検出（`wp-content/uploads/` 配下の `.php` は原則なし）④管理者ユーザー一覧を確認し、見覚えのないアカウントを削除 ⑤全管理者パスワードとデータベースパスワードを変更 ⑥本番復旧後も 2 週間はアクセスログを継続監視、の 6 段階で進めてください。
Q. 中小企業で予算もなく、保守契約していないサイトがあります。最低限何をすべき？
A. ①バックアップ取得 → ②WordPress 本体を 7.1.2 以上へ更新 → ③未使用プラグイン・テーマを削除 → ④管理者パスワードを強固なものに変更、の 4 ステップだけでも実施してください。これだけで被害率は大幅に下がります。
Q. 脆弱性情報を日常的にキャッチアップするには？
A. 日本語なら KUSANAGI の週次まとめ、piyolog、IPA の注意喚起。英語なら Patchstack・Wordfence の週報が実務的です。各社の RSS を Feedly 等で購読するのがおすすめです。
まとめ — “いつかやる” ではなく “今日中にやる”
CVE-2026-87902 は、WordPress 史上でも屈指の深刻度と即時攻撃性を持つ脆弱性です。「忙しくて来週にしよう」が通用しない状況で、現時点で未対応のサイトは、ゴールが見えている状態でブロックしていないに等しい無防備な状態と言えます。
本記事で紹介した 5 ステップは、技術者がいない組織でも、まずは “確認する” ところから始められます。ホームページを事業の重要資産と位置付けているのであれば、脆弱性ニュースのタイミングで一度棚卸しをしておくことを強くおすすめします。
弊社シエロデザインでも、WordPress 保守運用のご相談を承っています。「自社サイトのバージョンすら把握できていない」「保守会社と連絡が取れなくなった」といった状況からでも対応可能ですので、お気軽にご連絡ください。
参考・出典
- piyolog「WordPress Coreの脆弱性CVE-2026-87902についてまとめてみた」
- Xserver「WordPressの脆弱性（CVE-2026-87902）に関する注意喚起」
- SOC Prime「CVE-2026-87902: Critical WordPress Core RCE Flaw」
- IPA「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」
- KUSANAGI「WordPress テーマ・プラグイン 脆弱性情報のまとめ」
この記事を書いた人
シエロデザインのサービス
お問い合わせ
Webサイト制作・保守・広告運用・Web戦略チーム支援など、私たちシエロデザインが伴走できる領域はさまざまです。
「うちの場合どうすれば？」というご相談も、まずはお気軽にお声がけください。