CVE-2026-87902（wordpress wordpress）の深刻度・悪用状況・対象バージョン

8.1 重要（CVSS 3.x）　悪用確認済み（CISA KEV）　EPSS 取得中…
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

概要

An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.

実際の攻撃で悪用されています。 CISA KEV への追加日: 2026-09-25。対象製品を使っている場合は最優先で対策してください。
CISA の要求対応: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

影響を受ける製品

ベンダー製品対象バージョン
wordpresswordpress< 4.7.37
wordpresswordpress≥ 4.8 かつ < 4.8.32
wordpresswordpress≥ 4.9 かつ < 4.9.33
wordpresswordpress≥ 5.0 かつ < 5.0.29
wordpresswordpress≥ 5.1 かつ < 5.1.26
wordpresswordpress≥ 5.2 かつ < 5.2.28
wordpresswordpress≥ 5.3 かつ < 5.3.25
wordpresswordpress≥ 5.4 かつ < 5.4.23
wordpresswordpress≥ 5.5 かつ < 5.5.22
wordpresswordpress≥ 5.6 かつ < 5.6.21
wordpresswordpress≥ 5.7 かつ < 5.7.19
wordpresswordpress≥ 5.8 かつ < 5.8.17
wordpresswordpress≥ 5.9 かつ < 5.9.18
wordpresswordpress≥ 6.0 かつ < 6.0.16
wordpresswordpress≥ 6.1 かつ < 6.1.14

基本情報

公開日
2026-09-22
最終更新
2026-09-28
NVD の状態
Analyzed
弱点の種類
CWE-98

対策の進め方

  1. 上の表で、使っている製品とバージョンが対象か確認します。
  2. ベンダーの公式アドバイザリ（下の参考情報の「Vendor Advisory」「Patch」）で修正版・回避策を確認します。
  3. 悪用が確認されているため、パッチ適用までの間もアクセス制限・侵害の痕跡確認を検討します。
  4. 日本語の情報は JVN iPedia で CVE-2026-87902 を検索 できます。

参考情報

データ出典: NIST NVD、CISA KEV、FIRST EPSS。翻訳は参考情報で、正確性は原文を優先してください。