【CVE-2026-87902】WordPressに重大な脆弱性！エックスサーバーからメールが来た時の対処法と確認手順

どうも。みずかず（@mizukazu_1）です。

先日、WordPress本体に深刻な脆弱性「CVE-2026-87902」が見つかりました。

きっかけは、僕が利用しているXserver（エックスサーバー）から届いた「【重要】WordPressの脆弱性に関するご案内」というメールでした。

セキュリティの通知って、メールを開いた瞬間に「えっ、自分のサイト攻撃されたの？」「何かヤバいこと起きてる？」と一瞬焦りますよね……。

結論から言うと、すでに実際の攻撃への悪用が確認されている危険度の高い脆弱性のため、WordPressを運営している方は早急な確認とアップデートが必要です。

この記事では、CVE-2026-87902の概要や危険性だけでなく、「エックスサーバーから通知が来たけど結局何をすればいいの？」「自分のサイトは安全？」という方向けに、確認手順と具体的な対処法を分かりやすくまとめました。

【3秒でわかる要点まとめ】

何が起きた？：WordPress本体に任意のファイルを実行される重大な脆弱性（CVE-2026-87902）が発覚
対象は？：WordPress 4.7.0 〜 7.1.1 の各ブランチ（すでに悪用事例あり）
やるべきこと：管理画面の「ダッシュボード → 更新」から修正済みバージョンへアップデートする（Xserver側で自動適用されている場合もありますが、確認は必須）

そもそもCVE-2026-87902とは？何が危険なの？

CVE-2026-87902は、WordPressのページテンプレートを探す処理（テンプレート解決処理）にある「パストラバーサル」の脆弱性です。

パストラバーサルによるリモートコード実行のリスク

パストラバーサルとは、ファイルパスの制限が甘いことで、本来アクセスできないはずのディレクトリやファイルにアクセスされてしまう問題のことです。

今回の脆弱性では、ログインしていない外部の第三者（未認証の攻撃者）が、テーマのディレクトリ外にあるサーバー上のPHPファイルを勝手に読み込ませることができてしまいます。

その結果、条件が揃うとサーバー上で不正なプログラムを実行される「リモートコード実行（RCE）」につながる恐れがあります。

CVSS 4.0 スコア：9.2（深刻度：Critical）
攻撃の前提条件：
- 有効化しているテーマ内に page- から始まるディレクトリが存在する
- サーバー上に読み取り可能な対象PHPファイルが存在する
- など、環境やテーマの構成によって条件が左右されます。

「うちのテーマは大丈夫かも？」と思っても、攻撃手法が広まると予期せぬ形で悪用されるリスクがあります。CVSS 9.2という数値からも分かる通り、放置は厳禁です。

影響を受けるWordPressのバージョン一覧

公式アドバイザリによると、WordPress 4.7.0 から 7.1.1 までの幅広いブランチが対象となっています。

今回の対応では、最新版（7.1系）だけでなく、過去のメジャーブランチに対してもセキュリティ修正版が一斉にリリースされています。

利用中のブランチ	安全な修正済みバージョン
WordPress 7.1	7.1.2 以降
WordPress 7.0	7.0.6 以降
WordPress 6.9	6.9.9 以降
WordPress 6.8	6.8.10 以降
WordPress 6.7	6.7.9 以降

※上記より古い6.6以前のブランチにも修正版が配布されています。

なお、WordPress 4.6以前はそもそもセキュリティアップデートのサポートが終了しているため、これを機に安全なバージョンへ移行することをおすすめします。

エックスサーバーからメールが来た時の対処法・確認手順

エックスサーバー等から通知が届いた場合、次のステップで自分のサイトの状態を確認・対処しましょう。

手順1：現在のバージョンを確認する

まずはWordPressの管理画面にログインします。

左メニューの「ダッシュボード」→「更新」をクリック
画面上部に表示されている「現在のバージョン」を確認する

ここで先ほどの表にある「修正済みバージョン」になっていれば、ひとまずこの脆弱性への対策は完了しています。

エックスサーバーで勝手に更新されている場合もある？
エックスサーバーなどの一部ホスティング会社では、危険度が高い脆弱性に対してサーバー側で一括のセキュリティアップデートや緩和策を実施するケースがあります。
「メールを見て確認したら、すでに修正済みバージョンになっていた」という場合は、サーバー側の自動更新やWordPressのバックグラウンド更新が働いた証拠ですのでご安心ください。

手順2：手動でアップデートを実行する（未更新の場合）

まだ古いバージョンのまま残っている場合は、画面に表示されている「今すぐ更新」をクリックしてアップデートを行います。

注意点：アップデート前には、万が一のプラグイン競合や画面崩れに備えて必ずバックアップ（サーバー機能やバックアッププラグイン）を取得しておきましょう。

手順3：更新後の動作確認を行う

アップデート完了後は、以下の3点をサクッと確認します。

ブログのトップページや個別記事が正常に表示されるか
お問い合わせフォームなどの主要機能がエラーになっていないか
管理画面からログアウトし、正常に再ログインできるか

すでに攻撃を受けていないか心配なときは？

シンガポールのサイバーセキュリティ機関（CSA）の発表などによると、CVE-2026-87902はすでに実際のサイバー攻撃で悪用された事例が報告されています。

もし「長期間放置してしまっていた」「サイトの挙動がなんだかおかしい」と感じる場合は、以下のポイントをチェックしてみてください。

見覚えのない管理者ユーザーがいないか
- 管理画面の「ユーザー」一覧を開き、身に覚えのない管理者（administrator）アカウントが勝手に追加されていないか確認します。
怪しいファイルが生成されていないか
- FTPやファイルマネージャーで wp-content やルートディレクトリを見た際、ランダムな英数字の怪しい .php ファイルが置かれていないか確認します。
サーバーのアクセスログ
- 不正なパストラバーサル試行（URLに奇妙なパラメータやパスが含まれるリクエスト）が多発していないかログを確認します。

不審な痕跡を見つけた場合は、速やかに管理パスワードの変更やサーバー会社への相談を行ってください。