WordPressに認証不要でコード実行の恐れがある重大な脆弱性、過去バージョン含む修正パッチが公開

要点

• WordPressのコア機能に、未ログインの外部攻撃者が任意のPHPファイルを読み込ませることができる脆弱性（CVE-2026-87902）が判明した。

• 特定のサーバー条件が揃うと任意のコード実行（RCE）に至る恐れがあり、深刻度はCVSSスコア9.2の「緊急」と評価されている。

• 影響範囲はバージョン4.7.0から7.1.1までと広範囲に及び、直近のセキュリティリリースを適用した環境も対象となる。

• 開発元は修正版となる「WordPress 7.1.2」および過去のサポート中ブランチ向けパッチを公開し、速やかなアップデートを呼びかけている。

• オープンソースのCMS（コンテンツ管理システム）であるWordPressのコアソフトウェアにおいて、認証を受けていない外部の攻撃者がテーマフォルダ外のPHPファイルを読み込ませることができる深刻な脆弱性が確認された。サーバーの環境によっては任意のコードを実行される恐れがあるという。WordPressプロジェクトは2026年9月22日、この問題に対処したセキュリティリリース「WordPress 7.1.2」を公開するとともに、サポート対象となっている過去の全ブランチに向けて修正パッチの提供を一斉に開始した。

認証不要で悪用可能、深刻度はCVSS 9.2と評価

今回の脆弱性は「CVE-2026-87902」として登録されており、脆弱性の深刻度を評価する共通指標であるCVSSスコアは9.2、深刻度は「緊急（Critical）」と判定されている。攻撃にあたってアカウントの作成やログインといった認証は一切不要であり、ログイン済みユーザーの操作を介在させる必要もない。

影響を受ける範囲は、WordPress 4.7.0から7.1.1までの幅広いバージョンに及ぶ。これには2026年9月17日に公開されたばかりのセキュリティリリース「7.1.1」も含まれるため、直近で更新を実施したサイトであっても改めてパッチの適用が必要となる。なお、今回の脆弱性は9月17日のリリースで対処された問題とは独立した別個の不具合であると説明されている。

テンプレート選択処理における検証不備と悪用条件

問題の根本原因は、ページ表示時に適用するテンプレートファイルを選択する処理にある。ウェブアドレス（URL）の一部を用いてファイル名（page-{value}.php）を生成する際、上位階層のフォルダへ不正に遡る「../」（ディレクトリトラバーサル）の検証処理が欠落していたという。隣接するコードには同様の検証処理が存在していたものの、該当箇所では適用されていなかった。

ただし、ローカルのPHPファイルを読み込ませただけでは既存のコードが実行されるにとどまる。攻撃者が任意のコードを実行（RCE）させるには、悪用可能な処理を含むPHPファイルがサーバー上にあらかじめ存在しているという付加的な条件が必要となる。開発元が「一部のサーバー環境」と表現しているのはこのためであり、影響を受けるすべてのサイトで直ちにコード実行が可能になるわけではない。

さらに実際の攻撃を成立させるには、有効化されているテーマのトップレベルに「page-」から始まるフォルダが存在し、対象ファイルが「.php」で終わっている必要がある。WordPressの古いデフォルトテーマの一部には該当フォルダが含まれているものの、現行のデフォルトテーマには存在しないと報告されている。

セキュリティ企業のPatchstackによる分析では、危険度を測る指標として「有効なテーマ内に page- で始まるトップレベルフォルダがあるか」と、既知のコード実行手法が依存するPHP設定「register_argc_argv」（コマンドライン引数を登録する設定）が有効になっているかの2点が挙げられている。この設定はPHP 8.5では標準で無効化されているが、それ以前のPHPバージョンでは標準で有効になっているという。

セキュリティ研究者による報告と検証

この脆弱性は、セキュリティ研究者のRobert Ressl氏によって発見された。同氏は2026年7月、脆弱性報奨金プラットフォーム「HackerOne」を通じてWordPressへ非公開で報告を行っていた。

修正パッチの公開に伴い、Ressl氏は詳細な技術解説とともに概念実証（PoC）コードおよび検証用ラボ環境を公開した。同氏の検証は隔離されたローカル環境上の「WordPress 7.0.2」を対象に行われ、Webサーバープロセスの権限下でコードが実行される挙動が確認された。パッチ適用済みのバージョンや実稼働サイトに対するテストは行われていないとしている。

過去の全サポートブランチに修正を展開、速やかな更新を推奨

WordPressプロジェクトは、現在サポートを継続している過去のブランチに対しても修正をバックポート（過去バージョンへのパッチ適用）し、バージョン4.7.37に至るまで広範にパッチを提供した。主要ブランチにおける更新先バージョンは以下の通りとなっている。

• 7.1.x系: 7.1.2
• 7.0.x系: 7.0.6
• 6.9.x系: 6.9.9
• 6.8.x系: 6.8.10
• 6.7.x系: 6.7.9
• 6.6.x系: 6.6.9

自動バックグラウンド更新が有効なサイトでは自動的に更新が適用される。手動運用の場合は、管理画面の「更新」メニューから実行するか、WordPress.orgの公式サイトから修正版をダウンロードして適用できる。公式な個別回避策は用意されておらず、アップデートの適用が唯一の根本的な解決策とされている。

なお、直ちに更新できない管理者向けの緩和策として、Ressl氏はウェブ要求時の register_argc_argv の無効化や、サーバー上の未使用なPEAR（PHPの拡張ライブラリ群）コンポーネントの削除を挙げているが、根本修正ではないと強調されている。2026年9月22日時点で実際の悪用事例は報告されておらず、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用確認済み脆弱性カタログ（KEV）にも登録されていない。