WordPressコアに未認証RCEの脆弱性「CVE-2026-87902」が判明、CVSSスコア8.1

要点

• 米国の脆弱性データベース「NVD」に、WordPressコアの深刻な脆弱性「CVE-2026-87902」の情報が登録された。

• テンプレート解決処理の不備により、認証のない第三者がテーマディレクトリ外のローカルPHPファイルを読み込ませることが可能となっている。

• サーバー環境や有効なテーマの条件が揃った場合、遠隔から任意のコードを実行（RCE）される恐れがある。

• 影響を受けるのはWordPress 7.1.2未満で、CISA-ADPによる深刻度スコア（CVSS v3.1）は「8.1（HIGH）」と評価されている。

• パッチ公開から数時間で攻撃者による探索が確認されたほか、米CISAの悪用確認済み脆弱性カタログにも掲載されている。

• 米国立標準技術研究所（NIST）が運営する脆弱性データベース「NVD（National Vulnerability Database）」にて、オープンソースのコンテンツ管理システム「WordPress」のコア機能に存在する脆弱性「CVE-2026-87902」の詳細が公開された。2026年9月22日にNVDへ登録され、バグ報奨金プラットフォームのHackerOneや、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の公認番号付与機関であるCISA-ADPから情報が提供されている。未認証の攻撃者によって任意のPHPファイルが読み込まれ、環境によっては遠隔から任意のコードを実行（RCE：Remote Code Execution）される危険性があるという。

脆弱性の仕組みと発生条件

NVDに登録された情報によると、問題が発生するのはWordPressコアのページテンプレート解決処理を担う関数「get_page_template()」である。

通常、WordPressでは有効化されているテーマのディレクトリ内から適切なテンプレートファイルが読み込まれる。しかし本脆弱性では、認証を受けていない第三者がテンプレートの解決処理を不正に操作し、アクティブなテーマディレクトリの外部に存在する、読み取り可能なローカルの「.php」ファイルをインクルード（読み込み）させることが可能になるという。

この不備は、共通脆弱性タイプ一覧「CWE（Common Weakness Enumeration）」において、PHPプログラムにおける include/require 文のファイル名制御不備を示す「CWE-98」に分類されている。サーバー環境および有効化されているテーマの双方が特定の前提条件を満たしている場合、このファイル読み込み処理を通じて遠隔から任意のコードを実行される危険性があると説明されている。

深刻度評価とCVSSベクターの詳細

共通脆弱性評価システム「CVSS（Common Vulnerability Scoring System）」のバージョン3.1において、CISA-ADPは本脆弱性の基本スコア（Base Score）を「8.1」、深刻度を「HIGH」と評価した。

公表されたCVSSベクター（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）の内訳によると、攻撃元区分（AV: Network）はネットワーク経由であり、必要な特権レベル（PR: None）やユーザ関与（UI: None）は不要とされている。一方で、サーバーやテーマの前提条件が揃う必要があるため、攻撃条件の複雑さ（AC: High）は高いと判定された。攻撃が成立した場合の機密性・完全性・可用性への影響度は、いずれも「High」と評価されている。

なお、NVD自身によるスコア評価は現時点で未提供（N/A）となっており、参照リンクのタグ付けや適用範囲データの紐付けを行うエンリッチメント（補強）処理が進められている段階にある。

影響範囲と確認されている動向

HackerOneが提供した情報によると、影響を受ける対象は「WordPress 7.1.2 未満（0 < 7.1.2）」のすべてのバージョンとされている。

GitHub上の開発リポジトリ（WordPress/wordpress-develop）では、本件に関するセキュリティアドバイザリ「GHSA-7hp8-65ch-5whp」が公開されている。また、セキュリティ企業Patchstackの報告として、パッチが公開されてからわずか数時間後には攻撃者によるWordPressサイトへの探索行為が始まったことが、NVDの参照情報に記録されている。

さらに、米CISAが管理する「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」にもCVE-2026-87902が登録されており、実際の攻撃に悪用されるリスクが高い状態にあることが示されている。

登録情報の変更履歴

NVDの記録によると、本脆弱性は2026年9月22日に初期登録され、9月23日に公開された。その後、9月25日にも更新が行われており、これまでに3件の変更履歴が確認されている。