2026年9月22日に公開された「WordPress 7.1.2」で修正された重大な脆弱性「CVE-2026-87902」について、セキュリティ系メディアが「更新しただけでは終わらない」と注意を促しています。修正前に攻撃を受けていた場合、更新後も侵害の痕跡や不正なファイルが残っている可能性があるためです。
何が起きたのか
- 対象はプラグインやテーマではなく、WordPress本体です。
- 認証なしで攻撃でき、PHPファイルをディスクに書き込める脆弱性として扱われています。
- 修正は7.1.2で行われ、4.7までの各ブランチにもバックポートされたと報じられています。
- 記事によると、最初の攻撃活動は修正公開と同じ9月22日に確認され、9月25日には米CISAの「既知の悪用された脆弱性（KEV）」カタログに追加されました。
記事では、攻撃が成立しうる条件として、未更新であること、有効なテーマ（または親テーマ）のトップレベルに「page-」で始まるディレクトリがあること、サーバー上に読み取り可能なローカルPHPファイルが存在することの3点が挙げられています。実際の攻撃ではPEARの「pearcmd.php」が使われたとのことです。
更新前に攻撃を受けた可能性があるサイトで確認したいこと
- 不審なPHPファイルの有無：「/tmp」や「/var/tmp」、および9月22日以降に作成されたWebルート内の新規PHPファイル。記事では「wp-pear-rce-flag.php」「poc87902.php」や「luci_」「zeta_」で始まるファイル名が例示されています。
- アクセスログ：9月22日から更新日までの間に「pearcmd.php」を含むリクエストがないか。通常のページURLに対してRSSやOPMLの内容を含む200応答が返っている場合は、脆弱なコードに到達した証拠として扱うべきだとされています。
- ファイルの改ざん：コア・テーマ・プラグインのファイルを正規のコピーと比較し、更新以外で追加・変更されたものがないか。
- 永続化の痕跡：管理者アカウントの新規作成、見覚えのないcronタスク、「wp-config.php」や「.htaccess」の変更。なお、今回の攻撃での確認は未確定と記事は述べています。
どう対応するか
記事では、見つかったのが既知の不審ファイルだけで実行された形跡がなければ、その場で修復（クリーンアップ）する方針が示されています。一方、コードが実行された兆候や永続化の痕跡がある場合、またはログから判断できない場合は、サイトの再構築が推奨されています。いずれの場合も、WordPressの管理者パスワード、データベースのパスワード、「wp-config.php」のセキュリティソルトを変更することが勧められています。
共有レンタルサーバーではログの保持期間が短いことがあるため、確認する前に、まずログをダウンロードして保全しておくのが安全です。日本の個人サイトや小規模事業者サイトでも、更新を後回しにしていた場合は同じ確認が必要になります。
まず行うこと
最新版への更新は大前提です。当サイトでは、10月8日に公開された「WordPress 7.1.3」についても取り上げています。9月22日以降に更新したサイトも、更新日より前のログとファイルの確認を忘れずに行ってください。
