WordPress 本体の get_page_template() で未認証のローカル PHP 読み込み（KEV・条件付き RCE）

High（CVSS 8.1）に分類されるWordPress WordPress Core 4.7.0〜7.1.1の脆弱性です。**WordPress 本体がページのテンプレートを選ぶ関数 `get_page_template()` で、未認証の攻撃者が有効なテーマの外にあるローカルの `.php` ファイルを読み込ませられる。** WordPress のセキュリティアドバイザリ（GHSA-7hp8-65ch-5whp）によれば、影響は **4.7.0 から 7.1.1 まで**のすべての版で、サーバとテーマの条件がそろうと**遠隔コード実行**に至る。 **評価値**: NVD に登録された CVSS 3.1 基本値は **8.1**（AC:H＝条件がそろう必要がある）、アドバイザリの CVSS 4.0 は **9.2（Critical）**。 **RCE に必要な条件**（アドバイザリ・Patchstack）: 1) 有効なテーマの直下に `page-` で始まるディレクトリがあること。Twenty Twelve / Twenty Fourteen や、Neve・Hestia・Sydney などが該当例として挙がっている。2) サーバ上に悪用できる `.php` があること。PEAR の `pearcmd.php` があり PHP の `register_argc_argv` が有効な構成が典型で、アドバイザリは PHP 公式 Docker イメージや、PHP 8.5 より前の cPanel の既定構成を挙げている。 **修正の公開当日から悪用が始まっている。** 修正は 2026-09-22 に公開された。Patchstack は同日 11:49 UTC に最初の探索を観測し、偵察 → `pearcmd.php` の有無の探索 → `pearcmd` を使った PHP ファイルの書き込み、と段階が進んだと報告している。CISA は 2026-09-25 に KEV へ収載し、是正期限を **2026-09-28** とした。

**WordPress を修正版へ更新する。** 最新系列は **7.1.2**、ほかに 7.0.6 / 6.9.9 / 6.8.10 など、4.7 系（4.7.37）までの各系列に修正が提供されている。自動バックグラウンド更新が有効なサイトには自動で適用されるが、**無効にしている・構成管理で版を固定している環境は手動で上げる**。確認は管理画面の「更新」か `wp core version`、更新は `wp core update --minor`（同じ系列内）で行える。 **すぐ更新できない場合の暫定策**: Patchstack は、`pagename` パラメータ中のディレクトリトラバーサル（`../` やその URL エンコード `%2e%2e`）を WAF 等で拒否することを有効な止血策として挙げている。あわせて、不要な PEAR（`pearcmd.php`）を取り除き、PHP の `register_argc_argv` を無効にすると、アドバイザリが示す RCE の前提条件を外せる。 **侵害の確認**（Patchstack）: アクセスログで `pagename` に `%2e%2e` を含むリクエストを探し、`/tmp` や `/var/tmp` に見覚えのない `.php` ファイル（`wp-pear-rce-flag.php` や `poc87902.php` のような名前）が無いか確認する。

WordPress WordPress Core 4.7.0〜7.1.1 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-87902）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/28 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。