CISA KEVに登録されたWordPress Core CVE-2026-87902について、公式の影響版・修正版、7.1.2と現在提供される7.1.3の違いを整理。Web担当・情シス向けに、稼働版、テーマ・PHP環境、委託先、更新前の保全、更新後の業務確認と不審変更の調査を、実務チェックリストへつなぎます。
この記事の目次 9項目から選ぶ
何が起きたか：WordPress本体の修正とKEV登録
WordPressは2026年9月22日、CVE-2026-87902に対応する7.1.2を公開しました。公開ページのテンプレート処理に関わる問題で、公式はテーマやサーバー環境の条件によって、認証なしのアクセスからコード実行につながり得ると説明しています。
CISA KEV JSONでは9月25日に登録されています。現時点で公開情報から確認できる範囲では、KEV掲載だけで自社サイトの侵害や被害規模は分かりません。Web担当・情シスは、稼働中のコアの版、委託先の対応、不審な変更の記録を確認してください。
影響版・修正版と、現在の更新先の違い
WordPress公式GHSAの代表的な系列を抜粋しています。これは対象CVEの修正境界であり、全系列の一覧や現在の推奨最新版の表ではありません。
| 系列 | 公式の影響範囲 | 対象CVEの修正境界 |
|---|---|---|
| 7.1 | 7.1.0〜7.1.1 | 7.1.2 |
| 7.0 | 7.0.0〜7.0.5 | 7.0.6 |
| 6.9 | 6.9.0〜6.9.8 | 6.9.9 |
| 6.8 | 6.8.0〜6.8.9 | 6.8.10 |
| 4.7 | 4.7.0〜4.7.36 | 4.7.37 |
旧系列にも修正はバックポートされていますが、7.1.2の公式告知は、積極的なサポート対象は最新のWordPressだけと説明しています。古い系列に修正があることを、長期サポートの保証に読み替えないでください。
2026年10月10日の確認時点では、公式は10月6日付の7.1.3のセキュリティ・メンテナンス更新も公開しています。7.1.2で対象CVEを修正することと、その後の更新も反映することは別です。実施時には提供される現行版、互換性、保守方針を再確認します。
公式GHSAの評価はCVSS v4.0 9.2です。NVD APIにはv3.1の評価もあるため、版と評価元を付けずに数値だけを比較しません。CVEとCVSSの違いとKEVとEPSSの違いも判断に役立ちます。
影響を確認する組織・担当者
- Web担当・サイト所有者：会社サイト、EC、会員サイト、採用・旧キャンペーンサイトと更新状況を一覧化する。
- 制作会社・ホスティング担当：実際の稼働版、テーマ・PHP環境、更新経路、ログ、復元手順を確認する。
- 情シス・CSIRT：不審な管理者・ファイル・設定変更、認証情報や顧客データへの影響、報告・停止判断を確認する。
- 業務担当者：ログイン、フォーム、購入・予約など、復旧後に確認する主要操作と担当を決める。
これはプラグインだけの脆弱性ではありません。プラグイン・テーマの更新と、WordPress本体の更新を分けて確認します。ホスト型サービスの場合も、契約名だけで判断せず、提供元へ対象性・修正・責任分界を確認します。
なぜ重要か：管理画面対策と公開側の更新は別
公式は、コード実行に至る条件がテーマとサーバー環境に依存すると説明しています。「すべてのWordPressで必ずコード実行できる」とは書けません。一方で、管理画面のMFAやアクセス制限だけで、公開ページ側の問題が修正されたとも言えません。
条件の確認には、稼働構成と公式資料を制作会社・保守担当が照合します。本稿では攻撃用のパラメーター、対象ファイル、再現方法は掲載しません。判断できない構成は未確認のまま担当者と期限を付け、更新・暫定制限を進めます。
まず確認すべきこと
- 本番・検証・旧サイト・委託先のWordPressと、サイト所有者・保守担当を一覧化する。
- 正規の管理画面やデプロイ記録で、稼働中のコアの版を確認する。更新予定や通知メールだけで判定しない。
- テーマ、プラグイン、PHP環境、ホスティング形態と、公式条件の確認を担当者へ依頼する。
- バックアップと復元確認、更新の互換性、業務担当の確認項目、失敗時の暫定公開制限を準備する。
- Web・WAF・ホスティングのログ、管理者・ファイル・設定の変更履歴と保存期限を確認する。
- 対象外・修正済み・未確認の根拠、確認日時、残作業の担当と期限を記録する。
自動更新が有効でも、ジョブの失敗や環境差、旧サイトの取り残しを確認します。外部の表示だけから版を推測したり、実在サイトへ試行を送ったりしません。ソフトウェア資産台帳とパッチ適用後の確認へ作業をつなげてください。
推奨する初動対応
1. 保全と更新準備を並行する
公式の更新手順へ照合し、変更承認、バックアップ、復元確認、必要なログ保全を進めます。対象の可能性がある公開サイトで更新を待つ場合は、責任者が承認した暫定制限・停止と再確認期限を設けます。保全のために危険な公開状態を継続する必要はありません。
2. コアを更新し、稼働結果を確認する
現行の提供元の更新経路を使い、更新後の稼働版を確認します。主要ページ、管理ログイン、フォーム、必要な購入・予約処理、連携、エラーログ、監視を担当者と確認してください。検証時の通知・決済・外部送信は、承認した安全な条件で行います。
3. 不審な変更は、更新と別に調査する
不審な管理者、ファイル、リダイレクト、送信、ログ欠損などがあれば、Web改ざん初動テンプレートやインシデント対応へ引き継ぎます。一つのアクセスログやHTTPステータスだけでは侵害を確定できません。更新しても、過去の不正変更や認証情報への影響が自動的に解消するわけではありません。
やってはいけないこと
- 公開された検証コードや、攻撃対象となる条件を使って実環境へ試行する。
- バックアップ・保全・承認なしに、サイトやログ、ユーザー、ファイルを一括削除する。
- 更新失敗時に、旧版へ戻して公開を無期限に再開する。
- プラグイン更新だけ、アラートなし、自動更新設定だけでコアの修正を確認済みにする。
KEV掲載情報と、自社の対応判断
取得したKEV JSONの追加日は2026年9月25日、dueDateは9月28日、ランサムウェア利用欄はUnknownでした。Unknownを「利用なし」の証明にしません。CISAの掲載期限・BOD 26-04の指令対象と、日本の組織の法的期限は同一ではありません。
公開中で対象性が不明、委託先から回答がない、重要なデータを扱う、不審な変更がある場合は、未確認のまま低優先度にしません。サイト所有者、保守担当、情シス・CSIRTへ連絡し、更新・公開制限・影響調査の責任者と期限を決めます。
対応を完了とする条件と、実務集への進み方
更新後の稼働版、主要機能、監視、暫定制限、過去の変更の確認、ログの制約、未確認サイトを別々に記録します。「パッチ適用」と「侵害調査クローズ」は別の判断です。
WordPressコア KEV更新・初動確認チェックリストには、事前情報、20項目の確認、初動の順序、記録テンプレート、エスカレーション判断をまとめています。KEV、Patch Management、Web CMS確認、実務集一覧も参照してください。
公式情報・参考情報
以下を2026年10月10日に確認しました。修正境界、現在の提供版、KEV登録、現場で行う作業を分けて記載しています。
- WordPress公式GHSA-7hp8-65ch-5whp — 影響系列、修正版、条件付きの影響とCVSS v4.0。
- WordPress 7.1.2 Release — 9月22日の修正、バックポートとサポートの位置づけ。
- WordPress 7.1.3 Maintenance and Security Release — 10月6日の追加更新。
- CISA KEV JSON — 10月8日版の対象レコード。
- NVD: CVE-2026-87902 — メタデータ。NVD公式APIでも照合。
- Updating WordPress — 公式更新手順。
- CISA BOD 26-04 — 指令の対象と要求事項。
