CMSツール「WordPress」において、セキュリティ上の深刻な脆弱性（CVE-2026-87902）が明らかとなりました。
今回報告された脆弱性は、ページテンプレートの解決処理におけるパストラバーサルおよびローカルPHPファイルインクルードの問題です。
本脆弱性が悪用された場合、特定条件下において、認証を持たない第三者（攻撃者）によってローカルのPHPファイルを読み込まれ、リモートから任意のコードを実行されるおそれがあります。
これにより、Webサイトの改ざんやサーバー内情報の窃取など、深刻な被害につながるおそれがあります。
すでに本脆弱性を悪用したサイバー攻撃やファイル書き込みの試行が観測されており、至急の対応が必要です。

■ 影響を受けるシステム
・WordPress 7.1.1 以下のバージョン
・WordPress 4.7 以降の旧バージョン（セキュリティ修正未適用の状態）

■ 対策・推奨されるアクション

修正プログラムが適用されたバージョンへの更新が必要です。

【修正バージョン】

  • WordPress 6.9.5
  • WordPress 7.0.2

また、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）については、修正バージョンとして WordPress 6.8.6 も公表されています。

WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。
しかしながら、WordPress を運用している環境・構成や設定状況によっては、自動更新が有効ではなかったり、更新に失敗している可能性も考えられます。
WordPress の管理画面（ダッシュボード）からバージョンアップされているかどうかを確認し、バージョンアップされていない場合には、手動でのバージョンアップをご検討ください。

■ 参照先
IPA重要なセキュリティ情報

ご不明点やWebサイトの保守・更新に関するご相談がございましたら、お気軽に営業担当までお問い合わせください。
［お問い合わせ先］
sales@userside.inc