WordPressに重大な脆弱性（CVE-2026-87902）｜管理画面で見る場所と、制作会社への聞き方

2026年9月25日新井一マーケティング情報

9月24日、「WordPressの脆弱性（CVE-2026-87902）に関する注意喚起」が出ています。ログインしなくても外から攻撃でき、条件がそろうとホームページを乗っ取られるおそれがある、という知らせです。

対象は、WordPressの4.7から7.1.1までの、ほぼすべての版です。9月17日に出たばかりの7.1.1も入っています。

「うちのサイトは大丈夫なのか？」と思ったら、今のバージョンの番号を見てください。管理画面を開いている方は、「更新」の画面で番号を見られます。制作会社に任せている方は、その会社に番号を問い合わせましょう。9月22日に出た修正版になっていれば、この件で追加の作業はありません。

9月22日に何が直されたのか？

WordPressは9月22日に、7.1.2を出しました。修正は1件だけで、深刻度は一番上の「Critical（重大）」です。脆弱性の深刻さを表す共通の点数（CVSS）では、10点満点で9.2点が付いています。

問題は、ページを表示するときに、テーマの中のどのファイルを使うかを決める処理にありました。条件がそろったサイトでは、ページのアドレスの末尾に細工した文字を付けて開くだけで、テーマの外にあるPHPのファイルを、そのまま読み込ませることができました。

しかも、攻撃はその日のうちに始まっています。WordPress向けのセキュリティ会社Patchstackの観測では、修正版が出た22日の日本時間20時49分に、もう最初の攻撃の試みが届いています。

翌23日には、攻撃の数が初日の10倍になりました。この脆弱性があるサイトを探すためのツールも、すでに出回っています。

サイトを乗っ取られる2つの条件

WordPressの発表では、次の2つがそろうと、攻撃者がサーバーでプログラムを動かせるようになります。

使っているテーマ（親テーマか子テーマ）の中に、「page-」で始まる名前のフォルダがある
サーバーの中に、攻撃に使えるPHPのファイルがあり、外から読み込める

1つ目に当てはまるテーマとして、発表には5つの名前が挙がっています。WordPressの古い標準テーマのTwenty TwelveとTwenty Fourteen、それに無料で配布されているNeve、Hestia、Sydneyです。Patchstackによると、ほかにも多くのテーマに同じようなフォルダがあります。

2つ目は、サーバーの設定しだいです。今出回っている攻撃は、サーバーに入っていることがあるpearcmd.phpというファイルを狙っています。PHPの設定の1つ（register_argc_argv）が有効なサーバーでは、このファイルを通して、攻撃者が好きなファイルを書き込めてしまいます。

攻撃の対象は、特定のテーマを使っているサイトと、利用者が設定を一部変えているサイトです。新しい攻撃の方法が出てくれば、それ以外のサイトも影響を受けるおそれもあります。

ですが、あなたのサイトがこの2つに当てはまるかは、サーバーのファイルと設定を開かないとわかりません。調べるより、更新するほうが早く終わります。更新すれば、条件がそろっていてもいなくても、この穴はふさがります。

管理画面でのバージョンの見方

WordPressの管理画面にログインして、左のメニューの「ダッシュボード」から「更新」を開きます。画面の上に「現在のバージョン: 7.1.2」のように、今の番号が出ています。

その下に「最新バージョンの WordPress をお使いです。」と出ていれば、7.1.2です。

「WordPress の新しいバージョンがあります。」と出ていても、修正が入っていることがあります。そこが、少しわかりにくいところです。WordPressは、古い系列にも同じ修正を入れた版を、同じ9月22日に出しました。たとえば6.8系を使っているなら、6.8.10になっていれば修正は入っています。番号を、下の表と見比べてみましょう。

系列	修正版	系列	修正版
7.1	7.1.2	5.8	5.8.17
7.0	7.0.6	5.7	5.7.19
6.9	6.9.9	5.6	5.6.21
6.8	6.8.10	5.5	5.5.22
6.7	6.7.9	5.4	5.4.23
6.6	6.6.9	5.3	5.3.25
6.5	6.5.12	5.2	5.2.28
6.4	6.4.12	5.1	5.1.26
6.3	6.3.12	5.0	5.0.29
6.2	6.2.13	4.9	4.9.33
6.1	6.1.14	4.8	4.8.32
6.0	6.0.16	4.7	4.7.37
5.9	5.9.18

表の番号は、WordPressの公式の一覧と同じです。4.6以前の版は今回の対象に入っていませんが、2025年6月までにセキュリティ更新そのものが終わっています。

修正版になっていなければ、画面にある「バージョン 7.1.2 に更新」のボタンを押します。念のため、押す前に、レンタルサーバーのバックアップ機能か、使っているバックアップのプラグインで、サイトの控えを取ってください。

古い系列から、このボタンで7.1.2まで一気に上げるときは、テーマやプラグインが新しい版に対応しているかも問題になります。わからなければ、押す前にサイトを作った会社に相談しましょう。

制作会社に任せているなら、番号を聞こう

サイトの保守を、どこかの会社に頼んでいますか？頼んでいるなら、その会社に聞くのが一番早いです。契約がなくても、サイトを作った会社なら番号を見てくれるかもしれません。聞くことは1つで足ります。たとえば、次のように送ってみてください。

WordPressの脆弱性（CVE-2026-87902）の件で連絡しました。うちのサイトのWordPressは、9月22日に出た修正版（7.1.2か、同じ系列の修正版）になっていますか？今のバージョンの番号を教えてください。

「対応済みです」という返事だけで終わらせず、番号を返してもらいましょう。番号がわかれば、上の表と見比べて、自分でも判断できます。

メールで届く「修正用プラグイン」は入れない

脆弱性の知らせは、偽メールの題材にもなります。2023年12月には、WordPressを名乗る偽メールが出回りました。実在しない脆弱性をでっち上げて、「修正用プラグイン」を入れさせる手口です。入れたサイトには、攻撃者用の管理者アカウントが作られました。

今回の修正は、WordPress本体の新しい版として出ています。メールのリンクからプラグインやファイルを入れさせる案内は、疑ってください。更新は、自分のサイトの管理画面の「更新」から行います。

検索結果に出る「ハッキング」の警告

乗っ取られたとき、集客で一番困るのは検索結果です。Googleは、サイトのページが書き換えられたり、スパムのページが足されたりしたと判断すると、検索結果に警告を出します。文言は「このサイトは第三者によってハッキングされている可能性があります」です。ページを開こうとした人に、ブラウザが警告の画面を出すこともあります。

この表示を外すには、サイト全体を直したうえで、Search Consoleから審査を頼みます。Googleのヘルプによると、ほとんどの再審査には数日から数週間かかります。一部のページだけを直しても、検索結果は変わりません。

警告が出ているあいだに、検索から来た人がそのサイトで問い合わせをすることは、まずないでしょう。Search Consoleにサイトを登録していれば、Googleが見つけた問題は「セキュリティの問題」という画面に出ます。

WordPressは、7月17日から9月22日までに、セキュリティの修正を含む版を5回出しました。初期設定のままなら、こうした版は知らせを待たずに自動で入ります。

今の設定は、同じ「更新」の画面に一文で出ています。「自動的に最新の状態に保たれます」とあれば、自動更新は動いています。「このサイトは新しいバージョンの WordPress の自動更新を受け取りません。」とあれば、止まっています。

止まっているなら、次の修正版も誰かが手で入れることになります。自分で入れるのか、サイトを作った会社に頼むのかを、今のうちに決めておきましょう。