- WordPress 7.1.2で修正された脆弱性（CVE-2026-87902）の内容
- 自分のサイトのバージョンの確認方法と、自動更新の落とし穴
- 更新の手順と、失敗しないコツ
- あわせて確認したいPHPのこと、制作会社への確認文面
2026年9月23日、WordPress公式が最新版の「WordPress 7.1.2」を公開しました。この更新には、重大度の高いセキュリティ脆弱性（CVE-2026-87902）の修正が含まれています。しかも先月（10月）には、土台となるPHPにも重大な脆弱性が見つかっています。WordPressで作ったホームページをお持ちの方に向けて、確認と対応の手順をまとめます。
何が起きたのか
WordPress公式の説明では、認証されていない攻撃者が、特定の条件下で、ページテンプレートの解決処理を通じて、サーバー上の任意のローカルPHPファイルを読み込ませられる問題です。
サーバー環境と、有効にしているテーマの両方で関連する条件が満たされると、リモートコード実行（RCE）が起きる可能性があるとされています。
プラグインやテーマを最新にしていても、WordPress本体が古ければ影響を受ける可能性があります。
修正版はWordPress 7.1.2です。WordPress公式は、修正をサポート対象のすべてのブランチ（現在は4.7まで）に順次バックポート（過去の版へ反映）するとしています。また、レンタルサーバー大手のエックスサーバーは、影響を受けるバージョンとして、7.1.0〜7.1.1、7.0.0〜7.0.5、6.9.0〜6.9.8などを案内しています。
悪用には条件が必要ですが、自分のサイトがその条件に当たるかどうかは、外からは分かりにくいものです。海外のセキュリティ事業者の解説では、検証コード（PoC）が公開されているとも伝えられています。「条件に当たらないはず」と判断するより、更新してしまうほうが確実で、手間も小さく済みます。
自分のサイトのバージョンを確認する
- WordPressの管理画面にログインする（URLの末尾が
/wp-admin/のことが多いです）。 - 左のメニューの「ダッシュボード」→「更新」を開く：現在のバージョンと、更新があるかどうかが表示されます。
- 修正版になっているかを見る：「最新バージョンです」と出ていれば、基本的に問題ありません。「新しいバージョンがあります」と出ていれば、更新が必要です。
WordPressには自動更新の仕組みがあり、公式も、対応しているサイトは操作なしで更新が始まると説明しています。ただ、エックスサーバーも「自動更新が有効でも、管理画面で更新が完了していることを確認してください」と案内しています。更新が止まっているサイトは、意外と多いので、一度は画面で見ておきましょう。
更新の手順と、失敗しないコツ
- バックアップを取る：サイトのファイルとデータベースの両方です。レンタルサーバーの機能やバックアップ用プラグインが使えます。
- 管理画面の「今すぐ更新」を押す：または、WordPress.orgから7.1.2をダウンロードして更新します。
- 更新後に、サイトの表示を確認する：トップページ、お知らせ、お問い合わせフォーム、管理画面へのログインを一通り見ます。
自分の系統の版（6.9系など）の修正版が、まだ出ていない場合もあります。公式は、バックポートは準備ができたものから順次リリースするとしています。管理画面の「更新」画面に、お使いの系統の更新が出ていれば、それを適用してください。
土台の「PHP」も、あわせて確認を
10月21日には、PHP本体の重大な脆弱性（CVE-2026-109618／109619）も公表されました。WordPressを最新にしても、土台のPHPが古ければ影響を受けます。サーバーの管理画面でPHPのバージョンを確認し、修正版かどうかを見てください。手順は、関連記事にまとめています。
制作会社・保守担当に送る確認の文面
お世話になっております。弊社のホームページ（WordPress）について、確認させてください。
①現在のWordPressのバージョン
②2026年9月23日公開のWordPress 7.1.2（CVE-2026-87902の修正）への更新状況
③サーバーのPHPのバージョンと、10月21日公表のPHPの脆弱性（CVE-2026-109618／109619）への対応状況
お手数ですが、分かる範囲で教えてください。
「うちのWordPress、更新できている？」を、
外部の視点で無料点検します。
公開情報の範囲で、WordPressやPHPのバージョンの露出、管理画面の露出、SSLの状態を点検し、優先度の高い対策から整理してお渡しします。押し売りはしません。
オンライン対応・押し売りなしよくある質問（FAQ）
プラグインを最新にしていれば、安全ですか？
いいえ。今回はWordPress本体の問題です。プラグインやテーマが最新でも、WordPress本体が修正版になっていなければ、影響を受ける可能性があります。
自動更新をオンにしています。何もしなくてよいですか？
自動更新に対応したサイトは、公式の説明どおり、操作なしで更新が始まります。ただ、更新が止まっているサイトもあるため、管理画面の「ダッシュボード→更新」で、更新が完了しているかを一度は確認してください。
お使いのバージョンが古い系統（6.x など）の場合は、どうすればよいですか？
公式は、修正を過去の版にも順次反映（バックポート）するとしています。管理画面の更新画面に、お使いの系統の更新が出ていれば適用します。出ていない場合や、サポートが切れている古い版は、最新版への更新を検討してください。
更新するとサイトの表示が崩れませんか？
テーマやプラグインとの相性で、表示や機能に影響が出ることがあります。そのため、更新前にバックアップを取り、更新後にトップページ・フォーム・ログインを確認するのが安全です。不安な場合は、制作会社や保守の担当者に依頼してください。
PHPの脆弱性とは、別の話ですか？
はい、別の脆弱性です。ただし、どちらもWordPressのサイトに関わります。WordPress本体の更新と、サーバーのPHPの更新の、両方を確認しておくと安心です。
まとめ｜WordPress本体とPHP、両方のバージョンを一度確認
今回の脆弱性は、プラグインではなくWordPress本体のものです。管理画面の「ダッシュボード→更新」で、7.1.2（またはお使いの系統の修正版）になっているかを確認し、なっていなければバックアップを取って更新してください。あわせて、土台のPHPのバージョンも見ておけば、この秋の2つの大きな更新に一度で対応できます。
参考：WordPress.org 日本語「WordPress 7.1.2 リリース」（2026年9月23日）、エックスサーバー「【重要】WordPressの脆弱性（CVE-2026-87902）に関する注意喚起について」。検証コードの公開に関する記述は、海外セキュリティ事業者の解説に基づく伝聞です。状況は更新されます。最新情報は公式の発表をご確認ください。