【緊急】WordPressに重大な脆弱性「CVE-2026-87902」発見！対象バージョンと今すぐ行うべき対策

WordPressでホームページを運用している企業やWeb担当者の皆さまへ、重要なお知らせです。

2026年9月、世界中で利用されているCMS（コンテンツ管理システム）「WordPress」の本体に、重大なセキュリティ上の脆弱性が発見されました。

今回公表された脆弱性は「CVE-2026-87902」と呼ばれ、特定の条件下では、第三者によってWebサイト上で不正なプログラムを実行されるおそれがあります。

2026年9月24日には、国内のレンタルサーバー事業者であるエックスサーバーも注意喚起を発表し、WordPress利用者に対して速やかなアップデートを呼びかけています。

• WordPressは最近更新したばかりだから大丈夫
• セキュリティ対策のプラグインを入れているから安心
• 制作会社にホームページを作ってもらったので問題ないはず

そう考えている方も、今回の脆弱性については、改めて確認する必要があります。

特に企業のホームページでは、Webサイトの改ざんや不正アクセスが発生すると、顧客への影響だけでなく、企業の信用にも関わる問題に発展する可能性があります。

本記事では、今回の脆弱性の概要から、対象となるWordPressのバージョン、想定される被害、具体的な確認方法と対策まで、専門知識がない方にも分かりやすく解説します。

1. WordPressで発見された重大な脆弱性とは？

今回発見された脆弱性の概要は、以下のとおりです。

項目	内容
脆弱性の識別番号	CVE-2026-87902
対象	WordPress本体（コア機能）
深刻度	重大（Critical）
想定される影響	特定の条件下でのリモートコード実行（RCE）
修正版の公開日	2026年9月22日
主な対策	WordPress本体を対応する修正版へ更新する

今回の脆弱性は、WordPressのページテンプレートを読み込む処理に存在する問題です。

通常、WordPressでは、Webサイトを表示する際にテーマ内のテンプレートファイルを読み込みます。

しかし、今回発見された脆弱性を悪用すると、攻撃者が本来想定されていない場所にあるPHPファイルを読み込ませることが可能になります。

サーバー環境や使用中のテーマなど、一定の条件がそろった場合、攻撃者によってサーバー上で不正なプログラムが実行される危険性があります。

ログインしていなくても攻撃される可能性がある

今回の脆弱性で特に注意したいのが、攻撃にWordPressの管理画面へのログインが必須ではないという点です。

一般的に、WordPressへの不正アクセス対策として、管理画面のパスワード強化や二段階認証などが推奨されています。

もちろん、これらの対策は重要です。

しかし、今回の問題はWordPress本体の処理に関するものであり、パスワードを強化したり、管理画面へのログインを制限したりするだけでは、根本的な対策にはなりません。

つまり、管理画面を普段利用していない企業のホームページであっても、今回の問題を軽視することはできません。

2. すでに攻撃の試みが確認されている

今回の脆弱性は、単に理論上の問題として公表されたものではありません。

海外のセキュリティ専門メディアでは、今回の脆弱性を悪用した攻撃活動が報告されています。

また、2026年9月24日に公開された国内のセキュリティ対策Labの記事でも、今回の脆弱性に関連する攻撃活動が取り上げられています。

一方、エックスサーバーは9月24日付の注意喚起において、同社サービスでは、この脆弱性を悪用した被害は確認していないと説明しています。

攻撃活動が報告されていることと、すべてのWordPressサイトで被害が発生していることは別です。

ただし、今後新しい攻撃手法が公開される可能性もあるため、現時点で被害が確認されていない場合でも、速やかに更新することが重要です。

3. あなたのホームページは対象？影響を受けるWordPressのバージョン

今回の脆弱性は、古いWordPressだけに存在する問題ではありません。

2026年9月22日に公開されたWordPress 7.1.2より前の7.1系バージョンも対象です。

エックスサーバーは、WordPress 4.7系から7.1系までの旧バージョンに影響があると注意喚起しています。

そのため、WordPressを長期間更新していないサイトはもちろん、直近で更新したサイトについても確認が必要です。

対象バージョンと修正版の例

利用中のバージョン	対応する修正版
7.1.1以前の7.1系	7.1.2
7.0.5以前の7.0系	7.0.6
6.9.8以前の6.9系	6.9.9
6.8.9以前の6.8系	6.8.10
6.7.8以前の6.7系	6.7.9

※上記はWordPress公式セキュリティアドバイザリに掲載された修正版の一部です。6.6系以前についても、各系列の修正版が公開されています。

現在、WordPress 6.x系などの旧バージョンを利用している場合は、該当系列の修正版が提供されているかを確認してください。

ただし、旧バージョン向けのセキュリティ修正が提供されていることと、そのバージョンが全面的にサポートされていることは異なります。

継続的に安全な運用を行うためにも、テーマやプラグインとの互換性を確認しながら、最新の安定版への移行を検討しましょう。

4. 脆弱性を放置すると、どのような被害が起こるのか？

今回の脆弱性は、攻撃が成立する環境では第三者による不正なコードの実行につながる可能性があります。

実際にどのような被害が起こるかは、サーバーの設定や攻撃者が取得した権限などによって異なりますが、一般的にWebサイトが不正に操作された場合、次のような問題が想定されます。

① ホームページの改ざん

企業のホームページが書き換えられたり、意図しない広告や不正なリンクが設置されたりする可能性があります。

不正なページに訪問者を誘導してしまえば、企業だけでなく、サイトを利用する顧客にも影響が及ぶおそれがあります。

② 顧客情報や機密情報の流出

攻撃者がサーバー内の情報にアクセスできるようになった場合、保存されている顧客情報や企業の機密情報が流出するリスクがあります。

特に会員制サイトやECサイトなど、個人情報を取り扱うWebサイトでは注意が必要です。

③ 不正なメールの送信や詐欺サイトへの悪用

Webサイトが不正に操作され、迷惑メールの送信やフィッシング詐欺などに悪用される可能性もあります。

自社のドメインが不正な活動に利用されれば、メールの到達率や企業の信用に影響することも考えられます。

④ SEOや検索結果への悪影響

不正なページやリンクが大量に設置されたり、サイト訪問者が不審なページへ転送されたりすると、検索エンジンからの評価や検索結果での表示に影響が出る可能性があります。

場合によっては、問題の解消後も検索結果が正常な状態に戻るまで時間がかかることがあります。

⑤ 企業の信用低下と事業への影響

Webサイトが不正に操作された場合、ホームページを一時的に停止して復旧作業を行わなければならないケースもあります。

その間、問い合わせや商品購入ができなくなるなど、売上や営業活動に影響が出る可能性があります。

なお、これらはWebサイトが侵害された場合に想定される一般的な被害であり、今回の脆弱性を利用したすべての攻撃で発生するものではありません。

重要なのは、被害が発生してから対応するのではなく、事前に脆弱性を解消しておくことです。

5. 今すぐ確認！WordPressのバージョンを調べる方法

WordPressを利用している企業の方は、まず現在のバージョンを確認しましょう。

専門的な知識がなくても、WordPressの管理画面から確認できます。

STEP 1：WordPressの管理画面にログイン

通常、WordPressの管理画面は以下のようなURLからアクセスできます。

https://自社のドメイン/wp-admin

ただし、セキュリティ対策などによって管理画面のURLが変更されている場合もあります。

管理画面のURLが分からない場合は、制作会社やサイトの管理担当者に確認してください。

STEP 2：「ダッシュボード」から「更新」を選択

管理画面の左側にある「ダッシュボード」から「更新」をクリックしてください。

画面上に現在のWordPressのバージョンや、利用できる更新情報が表示されます。

STEP 3：修正版が適用されているか確認する

WordPress 7.1系を利用している場合は、7.1.2以降になっているか確認してください。

6.x系などの旧バージョンを利用している場合も、今回の脆弱性に対応した修正版が適用されているかを確認します。

「最新バージョンを使用しています」と表示されていても、管理画面に表示されるバージョン番号を確認することが重要です。

管理画面に更新が表示されない場合は、サーバー側の設定や更新制限なども含め、管理担当者に確認してください。

6. WordPressの脆弱性に対して今すぐ行うべき5つの対策

ここからは、企業サイトの管理者が実施しておきたい具体的な対策を紹介します。

対策① WordPress本体を修正版へアップデートする

今回の脆弱性に対する最も重要な対策は、WordPress本体を修正版にアップデートすることです。

WordPress公式は、今回のセキュリティリリースについて、速やかにサイトを更新するよう呼びかけています。

管理画面の「更新」から、利用可能な修正版が提供されているか確認してください。

ただし、企業のWebサイトでは、WordPress本体を更新することで、古いテーマやプラグインとの互換性に問題が生じることもあります。

更新前にはバックアップを取得し、必要に応じてテスト環境で動作を確認しましょう。

今回のような重大な脆弱性の場合は、互換性確認を理由に長期間更新を先送りすることは避け、できるだけ速やかに対応することが大切です。

対策② 自動更新が完了しているか確認する

WordPressには、本体を自動的にアップデートする機能があります。

しかし、自動更新を設定しているからといって、必ずしも更新が完了しているとは限りません。

サーバーの設定やファイルの権限、更新時のエラーなどによって、自動更新が正常に行われない場合もあります。

エックスサーバーも今回の注意喚起で、自動更新が有効になっている場合でも、実際にアップデートが完了しているか管理画面で確認するよう案内しています。

特に、複数のWebサイトを管理している場合は、各サイトの更新状況を個別に確認する必要があります。

対策③ テーマ・プラグインも更新する

今回の脆弱性はWordPress本体に存在する問題ですが、テーマやプラグインの更新状況も併せて確認しておきましょう。

WordPressには、問い合わせフォーム、SEO対策、EC機能、予約システムなど、さまざまな機能を追加できるプラグインが存在します。

これらのプラグインやテーマにも、セキュリティ上の問題が発見されることがあります。

WordPress本体だけを更新していても、古いプラグインに脆弱性が残っていれば、別の経路から攻撃される可能性があります。

また、すでに開発やサポートが終了しているプラグインを使用している場合は、代替プラグインへの移行や機能の見直しも検討しましょう。

対策④ 不審なファイルやアクセスがないか確認する

WordPressを修正版に更新することで、今回の脆弱性を悪用した新たな攻撃への対策になります。

しかし、すでにWebサイトが侵害されていた場合は、アップデートだけで問題が解決するとは限りません。

サーバー内に不正なファイルが設置されていたり、管理者権限が不正に取得されていたりする場合は、別途調査や復旧作業が必要になります。

次のような兆候がないか確認してください。

• 身に覚えのない管理者アカウントが追加されている
• ホームページに不審な広告やリンクが表示される
• 知らないページが大量に作成されている
• 自社サイトにアクセスすると別のサイトへ転送される
• サーバー内に不審なPHPファイルが存在する
• 覚えのないファイルの変更や管理画面へのログインが記録されている

こうした兆候が見つかった場合は、むやみにファイルを削除したり、バックアップを上書きしたりせず、制作会社やセキュリティの専門家に調査を依頼しましょう。

対策⑤ WordPressの保守・管理体制を見直す

今回の問題をきっかけに、企業のホームページが適切に管理されているか確認することも重要です。

特に中小企業では、ホームページを制作した後、更新や管理をほとんど行っていないケースもあります。

制作会社に依頼してホームページを公開したとしても、制作時の契約に保守・運用が含まれていなければ、公開後のアップデートは自社の責任となっている場合があります。

まずは、以下の項目を確認しておきましょう。

• WordPress本体の更新担当者が決まっている
• テーマ・プラグインの更新を定期的に実施している
• バックアップを定期的に取得している
• バックアップから復旧できることを確認している
• サーバーやPHPの更新状況を把握している
• セキュリティに関する重要なお知らせを確認している
• 不正アクセスやサイトの異常を検知できる体制がある
• トラブル発生時の連絡先や対応手順が決まっている

7. セキュリティプラグインを入れていれば安全？

WordPressのセキュリティ対策として、WordfenceやAll-In-One Securityなどのプラグインを導入している企業もあると思います。

こうしたプラグインは、不正なログインの防止やアクセス制御、ファイルの変更検知など、設定や機能に応じてさまざまなセキュリティ対策に役立ちます。

しかし、セキュリティプラグインを導入しているだけで、あらゆる脆弱性に対応できるわけではありません。

今回のようにWordPress本体の処理に問題がある場合、根本的な対策は脆弱性が修正されたバージョンへの更新です。

また、WAF（Web Application Firewall）を導入している場合も、特定の攻撃を防げる可能性はありますが、すべての攻撃を防げるとは限りません。

セキュリティ対策は、特定のプラグインやサービスに任せきりにするのではなく、WordPress本体、テーマ、プラグイン、サーバー環境などを含めて総合的に行うことが重要です。

8. 制作会社に管理を任せている場合はどうすればいい？

ホームページの管理を制作会社や保守会社に依頼している場合は、今回の脆弱性について対応状況を確認しましょう。

特に、日常的にWordPressの管理画面にログインすることがない経営者やWeb担当者の場合、現在どのバージョンを利用しているのか把握していないこともあるでしょう。

そのような場合は、制作会社に次のような内容で確認するとスムーズです。

件名：WordPressの重大な脆弱性に関する対応状況の確認

お世話になっております。

2026年9月にWordPress本体の重大な脆弱性「CVE-2026-87902」が公表された件について、弊社ホームページの対応状況を確認させてください。

現在のWordPressのバージョンと、今回の脆弱性に対応した修正版へのアップデートが完了しているか、ご確認いただけますでしょうか。

また、今回の脆弱性に関連する不審なアクセスや、サイトへの影響が確認されている場合は、併せてお知らせいただけますと幸いです。

お手数をおかけいたしますが、よろしくお願いいたします。

なお、保守契約を締結していない場合は、更新作業やセキュリティ調査が別途有償となる可能性もあります。

今後のトラブルを防ぐためにも、ホームページの更新やバックアップ、セキュリティ対応などについて、どこまでが保守契約に含まれているのか確認しておくことをおすすめします。

9. WordPressは危険？ほかのCMSに乗り換えるべき？

今回のような重大な脆弱性が発見されると、「WordPressを使い続けても大丈夫なのか」と不安に感じる方もいるかもしれません。

しかし、脆弱性が発見されたからといって、WordPressそのものを使用すべきではないということにはなりません。

WordPressに限らず、Webサイトを構築するためのCMSやソフトウェアには、セキュリティ上の問題が発見される可能性があります。

重要なのは、問題が発見された際に修正版を適用し、適切に管理できる体制を整えておくことです。

ただし、社内に管理担当者がおらず、制作会社との保守契約もない状態でWordPressを運用している場合は、管理方法を見直した方がよいでしょう。

Webサイトの規模や機能、更新頻度、予算によっては、保守サービスを利用したり、管理負担の少ないCMSへの移行を検討したりすることも選択肢になります。

10. ホームページは公開して終わりではない

企業のホームページを制作する際、デザインや機能、SEO対策などに注目する方は多いと思います。

もちろん、これらはWebサイトを活用するうえで重要な要素です。

しかし、ホームページは公開した後も、継続的な管理が必要です。

特にWordPressの場合、本体だけでなく、テーマやプラグイン、サーバー環境など、定期的に確認すべき項目が複数あります。

今回のように重大な脆弱性が公表された場合、適切な管理体制が整っているかどうかによって、対応の早さが変わってきます。

企業のホームページを安全に運用していくためには、次のような取り組みを継続することが重要です。

• WordPress本体・テーマ・プラグインの定期的な更新
• サーバーやPHPのバージョン管理
• 定期的なバックアップと復旧手順の確認
• 不正アクセスや不審なファイル変更の監視
• セキュリティに関する情報収集
• トラブルが発生した際の対応体制の整備

また、ホームページのセキュリティ対策は、一度実施すれば完了するものではありません。

新しい脆弱性や攻撃手法が発見される可能性があるため、継続的に見直していく必要があります。

11. WordPressの脆弱性に関するよくある質問

Q1. WordPress 7.1.1を使っていますが、更新は必要ですか？

はい。WordPress 7.1.1は今回の脆弱性の対象です。7.1系を利用している場合は、修正版の7.1.2以降へ更新してください。

Q2. WordPress 6.xを使っています。必ず7.1.2に更新する必要がありますか？

今回の脆弱性については、6.x系の各バージョンにも修正版が提供されています。利用中の系列に対応する修正版を適用することで、今回の脆弱性に対処できます。ただし、継続的な保守の観点から、最新の安定版への移行も検討しましょう。

Q3. WordPressを更新するとホームページが壊れることはありますか？

テーマやプラグインとの互換性などによって、一部の機能や表示に問題が生じる可能性があります。更新前にバックアップを取得し、更新後はフォームの送信やページの表示などを確認しましょう。

Q4. エックスサーバーを利用していれば安全ですか？

エックスサーバーは2026年9月24日の発表時点で、同社サービスにおいて今回の脆弱性を悪用した被害は確認していないと説明しています。ただし、利用者に対しては、速やかなWordPressの更新を求めています。サーバーを利用しているだけで対策が完了するわけではありません。

Q5. WordPressを更新すれば、すでに受けた攻撃の影響も解消されますか？

いいえ。修正版への更新は、今回の脆弱性を悪用した新たな攻撃への対策ですが、すでに設置された不正なファイルや不正なアカウントが自動的に削除されるとは限りません。侵害が疑われる場合は、別途調査と復旧が必要です。

Q6. WordPressを使っているか分からない場合は？

ホームページを制作した会社や、現在の管理担当者に確認してください。管理画面やサーバーの構成を確認すれば、WordPressを利用しているか調べることができます。

まとめ：WordPressを利用している企業は、今すぐ更新状況の確認を

2026年9月に公表されたWordPressの重大な脆弱性「CVE-2026-87902」は、特定の条件下で、第三者による不正なプログラムの実行につながる可能性がある問題です。

すでに攻撃活動も報告されており、WordPress公式や国内のレンタルサーバー事業者も、速やかなアップデートを呼びかけています。

WordPressを利用している企業は、まず現在のバージョンを確認し、今回の脆弱性に対応した修正版が適用されているか確認してください。

自動更新を設定している場合も、実際に更新が完了しているか確認することが大切です。

また、今回の問題をきっかけに、ホームページの保守やセキュリティ対策が適切に行われているか、改めて見直してみてはいかがでしょうか。

ホームページは、企業の情報発信や集客を担う重要な資産です。

大切なWebサイトを安全に運用していくためにも、日頃から適切な管理体制を整えておきましょう。

WordPressの管理やセキュリティ対策にお困りではありませんか？

スカイゴールド株式会社では、WordPressを利用した企業ホームページの制作・運用・保守に対応しています。

• ホームページを制作してから何年も更新していない
• 現在の制作会社と連絡が取れない
• WordPressのアップデートやセキュリティ対策を相談したい
• Web担当者がいないため、日常的な管理を任せたい

このような課題をお持ちの企業様は、お気軽にご相談ください。

WordPressの更新状況やサイトの構成、現在の管理体制などを確認したうえで、必要な対応をご案内いたします。

スカイゴールド株式会社 公式サイトはこちら

参考情報・公式発表

• エックスサーバー：WordPressの重大な脆弱性に関する注意喚起
• セキュリティ対策Lab：WordPress CVE-2026-87902に関する解説
• WordPress.org：公式ニュース・セキュリティ情報

※本記事は2026年9月25日時点の公開情報に基づいて作成しています。新たな攻撃手法や追加の修正版が公表される可能性があるため、最新情報はWordPress公式サイトなどでご確認ください。