WordPressユーザー必見！CVE-2026-87902とは？ 今すぐ確認したい対策と注意点

2026年9月、WordPress本体に関する脆弱性「CVE-2026-87902」が公開されました。

この脆弱性は、WordPressのページテンプレートを処理する仕組みに存在する問題で、攻撃者がログインしていなくても悪用できる可能性があります。

さらに、条件によってはWebサイト上で不正なコードを実行される可能性があるため、WordPressを利用している方は早めに対策しておきたい脆弱性です。

この記事では、WordPressやセキュリティに詳しくない方にも分かるように、CVE-2026-87902について次の内容を解説します。

• CVE-2026-87902とは何か

  • なぜ注意が必要なのか
  • 自分のWordPressが影響を受けるか確認する方法
  • 具体的に何をすればいいのか
  • すでに攻撃されていないか確認するポイント

  CVE-2026-87902とは？

  CVE-2026-87902は、WordPress本体に存在するセキュリティ上の問題です。

  WordPressでは、Webページを表示するときに、テーマに含まれているテンプレートファイルを読み込んでページを生成します。

  今回の脆弱性では、このテンプレートを読み込む処理に問題があり、攻撃者によって本来想定されていないファイルを読み込ませられる可能性があります。

  簡単に言えば、

  WordPressに細工したアクセスを送ることで、本来読み込まれるべきではないファイルを読み込ませられる可能性がある

  という問題です。

  さらに、環境によっては、この問題を悪用してWebサイト上で不正なコードを実行される可能性があります。

  なぜWordPressユーザーが注意する必要があるの？

  今回の脆弱性で特に注意したいのは、攻撃者がWordPressにログインしている必要がない可能性があることです。

  「管理画面のパスワードを知られていないから大丈夫」とは限りません。

  インターネット上に公開されているWordPressサイトには、誰でもアクセスできます。

  そのため、脆弱なバージョンを利用している場合、外部から攻撃を受ける可能性があります。

  CVE-2026-87902は危険なの？

  CVE-2026-87902は、CVSS v3.1で**8.1（High）**と評価されています。

  また、2026年9月25日には、米国CISAが管理する**Known Exploited Vulnerabilities（KEV）**にも追加されています。

  KEVは、実際の攻撃で悪用されたことが確認されている脆弱性を掲載するカタログです。

  そのため、今回の脆弱性は「いつか対応すればいい」というものではなく、WordPressを運営している方は早めにバージョンを確認することをおすすめします。

  自分のWordPressは大丈夫？ まずバージョンを確認

  まず、自分のWordPressのバージョンを確認しましょう。

  WordPressの管理画面にログインし、

  「ダッシュボード」→「更新」

  を開きます。

  ここでWordPress本体のバージョンや、利用可能なアップデートを確認できます。

  管理画面に更新のお知らせが表示されている場合は、その内容も確認してください。

  対策はWordPress本体を更新すること

  今回のようなWordPress本体の脆弱性に対する基本的な対策は、修正版へアップデートすることです。

  WordPressの管理画面から、

  「ダッシュボード」→「更新」

  を開き、WordPress本体に更新がある場合はアップデートしてください。

  アップデート前には、念のためバックアップを取得しておくと安心です。

  アップデート前に確認したいこと

  特に企業サイトやネットショップなど、重要なサイトでは次のような準備をおすすめします。

• WordPress本体のバックアップを取る

  • データベースをバックアップする
  • 利用中のテーマやプラグインを確認する
  • 可能ならテスト環境でアップデートする
  • アップデート後にサイトが正常に表示されるか確認する

  個人ブログなど比較的小規模なサイトでも、バックアップを取ってから更新する習慣をつけておくと安心です。

  テーマやプラグインを更新すればいい？

  今回の問題はWordPress本体の脆弱性です。

  そのため、テーマやプラグインだけを更新しても、WordPress本体の問題を解決することにはなりません。

  ただし、テーマやプラグインにも別の脆弱性が見つかることがあります。

  そのため、この機会にテーマやプラグインも最新の状態にしておきましょう。

  理想的には、次のような状態を維持します。

WordPress本体
    ↓
最新版へ更新

テーマ
    ↓
最新版へ更新

プラグイン
    ↓
最新版へ更新

また、使っていないプラグインは放置せず、不要であれば削除することをおすすめします。

すでに攻撃されていないか心配な場合

「アップデートすれば終わり」と考えてしまいがちですが、長期間にわたって脆弱なバージョンを使用していた場合は、念のためサイトに不審な変更がないか確認しておくと安心です。

例えば、次のような症状がないか確認してください。

• 見覚えのない管理者ユーザーが追加されている

  • サイトに知らないページが追加されている
  • 身に覚えのない広告が表示される
  • Webサイトが突然別のサイトへ転送される
  • 見覚えのないPHPファイルが追加されている
  • WordPressやプラグインのファイルが勝手に変更されている
  • サーバーから不審なメールが大量に送信されている

  このような現象がある場合は、単純にWordPressをアップデートするだけではなく、専門家や利用しているレンタルサーバー会社に相談することをおすすめします。

  「何も変なところがない」なら大丈夫？

  必ずしもそうとは限りません。

  Webサイトへの攻撃では、必ずしも目に見える変化が起きるとは限りません。

  例えば、攻撃者がサイトに侵入した後、すぐには何もせず、不正なファイルだけを残しているケースも考えられます。

  そのため、

  脆弱なバージョンを使っていた → アップデートする → 必要に応じてログやファイルも確認する

  という流れで対応するのが安全です。

  特に企業サイトやECサイトなど、停止すると大きな影響が出るサイトでは、専門家による調査も検討してください。

  WordPressの自動更新は使っていい？

  WordPressには自動更新の仕組みがあります。

  自動更新を利用できる環境では、セキュリティアップデートを早く適用できるというメリットがあります。

  一方で、サイトの構成によっては、アップデートによってテーマやプラグインとの互換性問題が発生する可能性もあります。

  そのため、サイトの規模や構成に応じて運用方法を検討しましょう。

  個人ブログなどの場合

  個人ブログや比較的小規模なサイトでは、自動更新を活用する方法があります。

  セキュリティアップデートを早く適用できるため、更新を忘れてしまうリスクを減らせます。

  企業サイトやECサイトの場合

  企業サイトやECサイト、複雑なカスタマイズを行っているサイトでは、バックアップやテスト環境を用意したうえでアップデートする方法もあります。

  重要なのは、自動更新を使うかどうかにかかわらず、セキュリティアップデートを長期間放置しないことです。

  WordPressユーザーが普段からやっておきたいセキュリティ対策

  CVE-2026-87902に限らず、WordPressを安全に運営するためには、普段から次のような対策を行うことが大切です。

  1. WordPressを最新にする

  最も基本的な対策です。

  WordPress本体にセキュリティアップデートが提供されたら、できるだけ早く適用しましょう。

  2. プラグインを放置しない

  使っていないプラグインは削除し、使用しているプラグインも定期的に更新します。

  「無効化しているから大丈夫」と考えず、不要なプラグインは削除するのがおすすめです。

  3. テーマも更新する

  テーマにも脆弱性が発見されることがあります。

  公式に提供されている更新がある場合は、内容を確認して適用しましょう。

  4. 管理者アカウントを整理する

  使っていない管理者アカウントは削除し、必要以上に管理者権限を付与しないようにします。

  5. バックアップを取る

  万が一サイトが改ざんされても、正常な状態へ戻せるようにバックアップを用意しておきましょう。

  バックアップは、WordPress本体だけでなくデータベースも含めて取得することが重要です。

  今回の件で最低限やっておきたいこと

  「難しいことは分からないので、結局何をすればいいの？」という方は、まず以下を確認してください。

• [ ] WordPressのバージョンを確認する
• [ ] WordPress本体を修正版へ更新する
• [ ] テーマを更新する
• [ ] プラグインを更新する
• [ ] 使っていないプラグインを削除する
• [ ] バックアップを確認する

• [ ] サイトに不審な変更がないか確認する

  特に重要なのは、WordPress本体を修正版へ更新することです。

  まとめ

  CVE-2026-87902は、WordPress本体に存在するセキュリティ上の問題です。

  攻撃者がログインしていなくても悪用される可能性があり、条件によってはWebサイト上で不正なコードを実行される可能性があります。

  また、CISAのKnown Exploited Vulnerabilities（KEV）にも追加されているため、WordPressを運営している方は早めに対応しておきたい脆弱性です。

  まずはWordPressの管理画面を開いて、**「ダッシュボード」→「更新」**を確認してください。

  そして、WordPress本体だけでなく、テーマやプラグインも可能な限り最新の状態にしておきましょう。

  もしすでにサイトに不審な変更がある場合や、長期間にわたって脆弱なバージョンを使用していた場合は、アップデートだけで済ませず、アクセスログやファイルの変更状況を確認することも重要です。

  WordPressのセキュリティ対策で最も大切なのは、「脆弱性が見つかってから慌てて対応する」のではなく、普段から最新の状態を維持することです。

※ 弊社の対応エリア内で「更新のやり方が分からない」とか「ワードプレスは管理が大変だから手間のかからないホームページに変更したい」などお困りのお客様はお気軽にご相談ください。