WordPress CoreのCVE-2026-87902、悪用確認——修正版への更新を

CVE-2026-87902とは——WordPress Coreで確認されたリモートファイルインクルージョン脆弱性の概要

2026年9月22日、WordPress Coreにリモートファイルインクルージョン（RFI）の脆弱性CVE-2026-87902が公開された（CVE最終更新: 2026年9月26日、採番元CNA: HackerOne）。CVSS 3.1スコアは8.1（HIGH）と評価されており（評価者: CISA-ADP、ベクター: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）（CVE公式記録）。

問題の核心はWordPressのget_page_template()によるページテンプレート解決処理にある。認証されていない攻撃者がこの処理を外部から操作できる条件が整うと、アクティブなテーマディレクトリの外に存在する、読み取り可能な任意の.phpファイルをサーバーにインクルードさせることが可能になる。サーバー側とアクティブテーマ側の両方で所定の前提条件が揃った場合、RCE（リモートコード実行）に至る可能性がある（CVE公式記録による）。

影響を受けるバージョンはWordPress Core 7.1.2未満。7.1.2以降は影響を受けない（CVE公式記録のsemver表記に基づく）。弱点分類はCWE-98（PHP Remote File Inclusion）。

関連記事PHP脆弱性CVE-2026-109619——悪用確認済み、修正版への更新が急務 ／ Magento脆弱性CVE-2026-48356——CISAが悪用確認、ECサイト今すぐやること

CISA KEV掲載が示す意味——「悪用確認済み」ステータスの重さ

本脆弱性はCVE公開からわずか3日後の2026年9月25日に、米国CISA（サイバーセキュリティ・インフラセキュリティ庁）のKEV（Known Exploited Vulnerabilities）カタログに追加された。KEVへの掲載は理論上の危険性ではなく「実際に悪用が確認された」ことを意味する（CISA KEVカタログ）。

CISAが米連邦機関に求めた対処期限は2026年9月28日——KEV追加からわずか3日。この期限は米国連邦政府機関を対象とした義務であり、日本企業に法的拘束力はない。

EPSS（悪用される確率の統計的推定指標）スコアは2026年11月10日時点で0.9577（パーセンタイル 0.9987）と記録されている（CVE公式記録）。EPSSはあくまで確率の推定であり、個別環境で悪用されると断定するものではない。

CVSS 3.1スコア8.1の攻撃複雑度（AC）は「High（高）」、機密性（C）・完全性（I）・可用性（A）への影響はいずれも「High」である。

Core 脆弱性 CVE-2026-87902への対処——企業担当者が確認すべき3点

CVE-2026-87902への対処として確認すべき点は以下の3点に絞られる。

1. 修正版への更新：WordPress Core 7.1.2未満を使用している場合は、ベンダーの告知に従い修正版へ更新する。配布パッケージの版は、そのベンダーの告知の修正版で判断する。
2. 更新の優先度を引き上げる：CISA KEVへの掲載は悪用確認を意味するため、更新の優先順位を上げる。CISAが示した必要な対処は「ベンダーの指示に従いミティゲーションを適用し、BOD 26-04のガイダンスを遵守すること」とされている（CISA KEVカタログ）。
3. 公式の回避策：今回確認した範囲では、ベンダーが公式の回避策（Workaround）を明示した記録はない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

なお、本脆弱性とAIとの関係は確認されていない。AIが発見したわけでも、AI製品の欠陥でも、AIを使った攻撃でもない。

CVE-2026-87902 主要指標サマリー

項目	内容	出典
CVE ID	CVE-2026-87902	cve.org
対象製品・バージョン	WordPress Core 7.1.2未満	CVE公式記録
CVSS 3.1スコア（評価者: CISA-ADP）	8.1 HIGH	CVE公式記録
CVSSベクター	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	CVE公式記録
弱点分類	CWE-98（PHP Remote File Inclusion）	CVE公式記録
CVE公開日	2026年9月22日	CVE公式記録
CISA KEV追加日	2026年9月25日	CISA KEVカタログ
CISA対処期限（米連邦機関向け）	2026年9月28日	CISA KEVカタログ
EPSS（2026年11月10日時点）	0.9577（パーセンタイル 0.9987）※統計的推定値	CVE公式記録
ランサムウェアでの利用	Unknown（未確認）	CISA KEVカタログ
公式回避策	記載なし（確認した範囲では未公開）	CVE公式記録

参考文献

• CVE公式記録 — CVE-2026-87902: https://www.cve.org/CVERecord?id=CVE-2026-87902
• NVD（米国国立脆弱性データベース）— CVE-2026-87902: https://nvd.nist.gov/vuln/detail/CVE-2026-87902
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog