WordPressの重大な脆弱性「CVE-2026-87902」に注意、修正パッチ公開から数時間で攻撃が観測される

要点

• WordPressにおいて、認証なしで遠隔から任意のコードを実行できる重大な脆弱性（CVE-2026-87902、CVSSスコア 9.2）が判明した。

• 開発元による修正パッチが公開された2026年9月22日のわずか数時間後から、悪用を試みる通信が世界各地で観測されている。

• 攻撃の成功にはテーマのディレクトリ構造や特定PHPファイルの存在など、サーバー環境に関する2つの前提条件が必要となる。

• セキュリティ企業は攻撃試行の拡大と悪意あるファイルの書き込みを確認しており、修正バージョンへの速やかな更新と監査を呼びかけている。

• コンテンツ管理システム（CMS）のWordPressにおいて、遠隔の第三者が認証を経ずに不正なコードを実行できる極めて深刻な脆弱性が報告された。開発チームによるセキュリティアドバイザリと修正パッチの公開からわずか数時間のうちに、複数のセキュリティ研究機関が実際の攻撃試行を検知したことが明らかになっている。

脆弱性「CVE-2026-87902」の仕組みと危険性

今回判明した脆弱性は「CVE-2026-87902」として追跡されており、脆弱性の深刻度を示す指標であるCVSS（Common Vulnerability Scoring System）のスコアは9.2（最大10）と極めて高く評価されている。影響としては、未認証の攻撃者によるリモートコード実行（RCE：遠隔からサーバー上で不正なプログラムを実行される状態）につながる恐れがある。

WordPressが公開したアドバイザリによると、本脆弱性はページテンプレートの解決処理を担う内部関数「get_page_template()」の挙動に起因している。細工されたリクエストによって、有効化されているテーマのディレクトリ外にあるローカルのPHPファイルを意図的に読み込ませることが可能になるという。サーバー環境および利用中のテーマにおいて特定の条件が揃っている場合、外部からのコード実行へと発展する仕組みとなっている。

悪用成立に必要な2つの前提条件

本脆弱性は重大な影響を及ぼす可能性があるものの、攻撃が成立するためにはサーバー側で以下の2つの前提条件が満たされている必要があると説明されている。

1. テーマの構成: 有効化されている親テーマまたは子テーマ内に、名称が「page-」から始まる最上位ディレクトリ（例: page-templatesなど）が存在すること。
2. 読み取り可能な特定ファイルの存在: サーバー上に攻撃者が狙うローカルのPHPファイルが存在し、Webサーバーの実行権限で読み取り可能であること（例: pearcmd.phpなど）。

これらの条件が揃っていない環境では、攻撃リクエストを受信しても直接的な侵害には至らないとされている。

パッチ公開直後から検知された攻撃の動向

セキュリティ企業のPrevidian社が公開した情報によると、同社が運用するハニーポット（サイバー攻撃の手口を観測するために設置された囮システム）のネットワークにおいて、CVE-2026-87902を標的とした悪用試行が確認された。最初の攻撃試行が記録されたのは、修正パッチが配布された当日である2026年9月22日の11時49分（UTC）であり、情報公開から極めて短い時間で攻撃者が活動を開始したことが示されている。

攻撃通信の中には、米国ニュージャージー州に位置するIPアドレス（104.194.9[.]227）やインドネシア発のアクセスが含まれていた。これらの攻撃では、サーバー上のPHP管理スクリプト「/usr/local/lib/php/pearcmd.php」を読み込ませることで一時ディレクトリ「/tmp/」にファイルを書き込み、さらにGitHub上でホストされている外部のPHPアップロードスクリプトを取得して読み込ませようとする手口が確認されている。

Previdianのテレメトリデータによると、2026年9月23日以降で合計68件の悪用試行が記録された。Previdianの創業者兼CEOであるRyan Dewhurst氏は「間違いなく深刻な脆弱性ではあるものの、特定の前提条件が存在するため、攻撃の成功率は低くなる」と述べている。さらに同氏は「WordPressは標準で自動更新が有効になっているため、無差別な悪用試行は多数発生する可能性が高いが、実際に侵害されるサイトは比較的少数にとどまるだろう」との見通しを示している。

偵察からファイル書き込みへの手口の拡大

WordPress専門のセキュリティ企業であるPatchstack社も、パッチ公開から数時間で攻撃者がWordPressサイトに対する調査活動を開始したと警告を発している。同社によると、攻撃者の活動は当初の無害なコアファイルに対する偵察段階から、すでに「pearcmd.php」を悪用してディスク上にPHPスクリプトを生成する能動的な攻撃へと移行しているという。この分析結果はPrevidian社の調査結果とも一致している。

攻撃活動では、「/tmp」や「/var/tmp」といった一時保存用ディレクトリに対し、攻撃者が制御するPHPコードを含む任意のファイルを作成する挙動が確認されている。観測されたファイル名には以下のようなものが含まれている。

• wp-pear-rce-flag.php
• poc87902.php
• luci_<ランダム文字列>.php
• zeta_<ランダム文字列>.php

また、一連の悪意ある通信に関与したIPアドレスとして、以下の複数の接続元が挙げられている。

• 43.250.53[.]42
• 180.251.159[.]243
• 195.178.110[.]247
• 107.189.14[.]87
• 45.61.184[.]170
• 92.246.130[.]76

対策と推奨されるバージョン

現在、脆弱性を修正したアップデートがリリースされている。ウェブサイトの管理者に対しては、最新版であるWordPressバージョン 7.1.2、または利用中の系統に応じた過去系統の修正版（7.0.6、6.9.9、6.8.10）を可能な限り速やかに適用することが推奨されている。併せて、自社サーバー内に不審なファイルやアクセス履歴といった侵害の兆候がないか、監査を実施することが求められている。