「WordPress」に深刻な脆弱性 - わずか5日で再更新

コンテンツマネジメントシステムの「WordPress」に深刻な脆弱性が明らかとなった。前週に公開されたセキュリティアップデートで修正した脆弱性とは異なる問題であり、再度更新が必要となる。

開発チームは現地時間2026年9月22日、セキュリティアップデートを公開し、認証を必要とすることなく、悪用されるおそれがあるパストラバーサルの脆弱性「CVE-2026-87902」について明らかにした。

開発チームは重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティング。前週9月17日に公開したばかりのセキュリティリリース「同7.1.1」も同脆弱性の影響を受けるという。

同脆弱性は、ページテンプレートの参照先を解決する処理に存在。ウェブサーバが読み取り可能で、テーマのディレクトリ外にある任意のローカルPHPファイルを実行させることが可能。

同脆弱性を悪用するには、親テーマまたは子テーマの最上位に「page-」の文字列で始まるディレクトリが存在するなど、一定の条件を満たす必要がある。

（Security NEXT - 2026/09/23 ）ツイート