2026年9月22日、WordPress本体に深刻な脆弱性（CVE-2026-87902）が見つかり、修正版が公開されました。ログインしていない第三者が、条件によってはサイト上で任意のプログラムを動かせてしまうおそれがあるという内容です。公開の翌日から、この脆弱性を狙った攻撃も実際に観測されています。
WordPressには、セキュリティ修正を自動で適用する仕組みがあります。そのため「うちのサイトも自動で直っているはず」と考えがちですが、自動更新が止まっているサイトも少なくありません。この記事では、今回の脆弱性の概要と、サイトの管理者が確認しておきたいことをまとめます。
何が起きたのか
問題が見つかったのは、WordPressが固定ページを表示するときに、どのテンプレート（ページのひな型）を使うかを決める処理です。ここで読み込むファイルの範囲を正しく制限できておらず、細工したアクセスを送ると、本来読み込むはずのないファイルを読み込ませることができました。サーバーやテーマの条件が重なると、外部からプログラムを実行されるおそれがあります。
| 日付 | 出来事 |
|---|---|
| 9月22日 | WordPressが修正版（7.1.2ほか）を公開。同じ日に攻撃方法の検証コードも公開される |
| 9月23日〜 | セキュリティ企業各社が、この脆弱性を狙ったアクセスの急増を観測 |
| 9月25日 | 米国の政府機関（CISA）が「悪用が確認された脆弱性」の一覧に登録 |
| 9月29日〜30日 | 国内の脆弱性データベース（JVN iPedia）やJPCERT/CCでも取り上げられる |
深刻度の評価（CVSS）は、10点満点で8.1〜9.2と高く評価されています。ログイン不要で狙える点、攻撃の手順がすでに広く知られている点が、とくに危険な理由です。
まず確認：お使いのWordPressは修正版か
影響を受けるのは、WordPress 4.7.0から7.1.1までの幅広いバージョンです。修正は最新の7.1系だけでなく、古いバージョンの系列にも提供されています。管理画面の「ダッシュボード」→「更新」を開くと、現在のバージョンが表示されます。次の表で、お使いの系列の修正版以上になっているかを確認してください。
| お使いの系列 | 修正版（このバージョン以上なら対応済み） |
|---|---|
| 7.1系 | 7.1.2 |
| 7.0系 | 7.0.6 |
| 6.9系 | 6.9.9 |
| 6.8系 | 6.8.10 |
| 6.7系 | 6.7.9 |
| 6.6系以前（4.7系まで） | 各系列に修正版あり |
| 4.6系以前 | 修正版なし。最新版への移行が必要 |
なお、WordPressが正式にサポートしているのは最新版だけです。古い系列への修正提供は、あくまで今回のような深刻な問題への特例です。古い系列のまま使っている場合は、これを機に最新版への移行も検討してください。
「自動で更新されているはず」の落とし穴
WordPressは標準の設定で、同じ系列内のセキュリティ修正（たとえば7.1.1から7.1.2への更新）を自動で適用します。多くのサイトでは、管理者が何もしなくても修正版になっているはずです。ただし、次のような場合は自動更新が行われません。
- 制作時に、表示崩れを避けるために自動更新を止める設定がされている
- セキュリティ系や管理系のプラグインが、自動更新を止めている
- サーバーの権限設定などの理由で、自動更新が失敗している
- WordPressが4.6以前の古いバージョンで、そもそも修正版が提供されていない
レンタルサーバー会社の中には、条件に当てはまるサイトを事業者側で更新したところもあります。それでも「誰かがやってくれたはず」で済ませず、一度は管理画面で実際のバージョンを確かめておくことが大切です。
更新が遅れていた場合に確認したいこと
9月22日以降もしばらく古いバージョンのままだった場合は、更新するだけでなく、その間に攻撃を受けていないかも確認しておきたいところです。
- サイトの表示や内容に、身に覚えのない変更がないか
- 管理画面に、知らない管理者アカウントが増えていないか
- サーバー上に、見覚えのないPHPファイルが置かれていないか
- アクセスログに、不審なアクセスが大量に記録されていないか
サーバーのファイルやログの確認には専門的な知識が必要です。不安な場合は、制作会社や保守会社に相談してください。改ざんが見つかった場合は、攻撃を受ける前のバックアップから復旧するのが基本です。
保守の現場では、こう対応しています
エディトルでは、保守をお預かりしているサイトについて、脆弱性の情報を毎日確認しています。
WordPressの脆弱性が公表され、修正版がリリースされた場合、自動更新を待たずに、管理しているすべてのサイトを手動で速やかに更新しています。WordPressの自動更新は、更新の有無を確認する間隔（約12時間ごと）や、サイトへのアクセス状況によって、適用までに時間差が出ることがあるためです。攻撃は修正版の公表当日から始まることもあるため、この時間差を手作業で埋めています。
具体的には、次の手順で進めます。
- 修正版のリリースを確認したら、自動更新を待たずに作業を始める
- 各サイトのバックアップを取る
- 手動で修正版に更新する
- 更新後に、表示や動作に異常がないかを確認する
- 念のため、公表から更新までの間に不審なファイルやアクセスがなかったかを確認する
保守の作業内容については、「サイトの保守費は何に使われているのか」で詳しくご紹介しています。
おわりに
WordPressは世界中で使われているため、深刻な脆弱性が見つかると、公表の当日から機械的な攻撃が始まります。自動更新は心強い仕組みですが、「動いているはず」と「実際に動いた」は別のことです。今回の件をきっかけに、ご自身のサイトのバージョンと、更新を誰がどのように見ているのかを一度確認してみてください。
「自分のサイトが対応済みかわからない」「制作会社と連絡がつかない」といった場合も、お気軽にお問い合わせください。他社で制作されたサイトの確認や保守にも対応しています。