【ITニュース解説】CVE-2026-87902 Under Active Exploitation: 64 Honeypot Attempts and a GitHub-Hosted Webshell

このニュース記事は、世界中で広く使われているウェブサイト作成ツール「WordPress」に発見された非常に危険な脆弱性「CVE-2026-87902」について、その詳細と、すでに実際に攻撃が始まっている状況を伝えている。システムエンジニアを目指す人にとって、このような脆弱性の情報がいかに重要か、そしてどう対応すべきかを理解することは、サイバーセキュリティの基礎を学ぶ上で欠かせない。

まず、CVE-2026-87902がどのような脆弱性であるか見ていこう。これはWordPressの「コア」と呼ばれる、基本的な部分に存在していた欠陥だ。この脆弱性は、発見され修正プログラム（パッチ）が公開されてから、たった一日という驚くべき速さで、実際の攻撃に悪用され始めた。これは、攻撃者が常に新しい脆弱性の情報を追い、迅速に攻撃を仕掛けてくる現実を物語っている。この脆弱性の深刻度は、共通脆弱性評価システム（CVSS）のバージョン3.1で8.1と評価されており、これは非常に高いリスクを意味する。具体的に何が危険かというと、ウェブサイトにログインしていなくても（認証なしで）、サーバー内の任意のPHPファイルを読み込むことができてしまう。さらに、この脆弱性を悪用することで、最終的には「リモートコード実行」という最も深刻な攻撃に発展する可能性がある。リモートコード実行とは、攻撃者が遠隔からサーバー上で好きなプログラムを勝手に実行できてしまう状態を指し、これによってウェブサイトの改ざん、情報の窃取、さらにはサーバー全体の乗っ取りにもつながる非常に危険な事態だ。WordPressのバージョン7.1.2でこの問題は修正されている。

次に、この脆弱性がどのようにして悪用されるのか、その技術的な仕組みをもう少し詳しく見てみよう。この攻撃は、WordPressのページ名を指定するpagenameというパラメータを悪用する。通常、ウェブサイトのURLに表示されるページ名には、特別な文字が含まれないように「サニタイズ」（無害化）という処理が施される。しかし、この脆弱性では、攻撃者はpagenameパラメータに「二重エンコードされたトラバーサルシーケンス」という特殊な文字列を仕込む。トラバーサルシーケンスとは、ファイルパスを操作して、本来アクセスできないはずのディレクトリやファイルにアクセスしようとする攻撃手法（ディレクトリトラバーサル攻撃）で使われる文字列のことだ。この二重エンコードされた文字列は、初期のサニタイズ処理をすり抜けてしまう。そして、WordPressがページのテンプレートを読み込む際に使用するget_page_template()という関数が、この二重エンコードされた文字列をデコードしてしまうのだ。その結果、WordPressのテンプレートローダーは、アクティブなテーマディレクトリ（ウェブサイトのデザインや機能を構成するファイル群）の外にあるファイルであっても、それが存在し、読み取り可能で、かつ.phpまたは.htmlで終わっていれば、テンプレートファイルとして受け入れてしまう。これにより、攻撃者はサーバー内の任意のPHPファイルを読み込めるようになるわけだ。さらに、完全なリモートコード実行を成功させるためには、特定の条件が必要となる。一つは、トップレベルにpage-ディレクトリを持つアクティブなテーマが使われていること、もう一つは、PHPの設定でregister_argc_argvが有効になっていることだ。この設定が有効な場合、pearcmd.phpというPHPのユーティリティを悪用して、さらに強力な攻撃、つまりリモートからのコード実行が可能となる。

実際に確認された攻撃活動は、この脆弱性を利用して、インターネット上にあるGitHubにホストされたリモートの「ウェブシェル」をターゲットのサーバーに植え付けようとするものだった。ウェブシェルとは、ウェブサーバー上で動作し、攻撃者がウェブブラウザ経由でサーバーを遠隔操作できるようにする悪意のあるプログラムのことだ。セキュリティ研究者が設置した「ハニーポット」（おとりとして設置されたシステムで、攻撃を誘い込みその手口を監視・分析するために使われる）では、ニュージャージー州にある単一のホスト（コンピューター）から、実に64回もの攻撃試行が記録された。このようなパターンは、典型的な攻撃手法を示している。つまり、攻撃者はまずインターネット上を広範囲にスキャンして、脆弱なシステムを見つけ出す（「オポチュニスティックスキャン」）。そして、脆弱性に応答した最初のターゲットに対して、すぐにペイロード（ここではウェブシェル）を送りつけてくるのだ。もしこの攻撃が成功していたら、攻撃者はウェブサーバーが動作しているユーザー権限でサーバー上で任意のコマンドを実行できるようになる。これにより、ウェブサイトの設定ファイルや、そのウェブサーバープロセスがアクセスできるあらゆるデータに、攻撃者がアクセスできてしまう。これはウェブサイトの完全な乗っ取りを意味し、個人情報や企業機密の漏洩、ウェブサイトの改ざん、マルウェアの配布元としての悪用など、壊滅的な被害につながる可能性を秘めている。

この脆弱性の影響を受ける範囲は広い。WordPressのバージョン7.1.2より前の全てのバージョンが影響を受ける対象だ。幸い、WordPressの開発元は、この修正プログラムを現在もサポートしている過去のバージョンにも適用（「バックポート」）しているため、古いバージョンを使っているユーザーもアップデートによって対処が可能だ。特にリスクが高いのは、パッチが適用されていない古いバージョンのWordPressを使用しているだけでなく、この脆弱性の悪用に必要な特定のテーマと、セキュリティ設定が緩いPHPの設定を組み合わせているサイトだ。今回報告された攻撃キャンペーンは、特定の業界や種類のウェブサイトを狙ったものではなかった。広範囲にわたる探査（プロービング）だったため、小規模なウェブサイトから中規模、大規模なものまで、あらゆるWordPressサイトが等しく標的になる可能性があった。

現状の露出状況も注意が必要だ。インターネット上のデバイスを検索するサービスであるZoomEyeで「WordPress」を検索すると、約800万件ものWordPressを利用しているウェブサイトが見つかる。しかし、この脆弱性「CVE-2026-87902」で検索すると、現在のところ0件と表示される。これは、この脆弱性が含まれるWordPressサイトが存在しないことを意味するわけではない。ZoomEyeのようなサービスでの脆弱性情報のインデックス作成には時間差（「インデックスラグ」）があるため、脆弱性が発見され、攻撃が始まっていても、データベースに反映されるまでには時間がかかることが多い。つまり、すでに攻撃トラフィックが活発に流通しているにもかかわらず、まだ多くの潜在的な脆弱なサイトがインターネット上に存在している可能性が高いことを示している。

このような危険からウェブサイトを守るためには、迅速かつ適切な対策が不可欠だ。最も重要な対策は、WordPressを直ちにバージョン7.1.2、または現在使用しているブランチ（バージョン系列）向けの修正が施された最新リリースにアップデートすることだ。アップデートは、脆弱性を修正し、攻撃のリスクを大幅に減らすための最も基本的で効果的な手段である。アップデート後も、念のため、この攻撃キャンペーンに関連する兆候（「インジケーター」）がないかを確認することが推奨される。具体的な兆候としては、ウェブサイトのログファイルなどに、テンプレートパラメータ内にトラバーサルシーケンスを含む不審なリクエストがないか、ウェブサーバーからGitHubのようなコードホスティングサービスへの不審な外部アクセスがないか、そして、ウェブサーバー上に新しく不審なPHPファイルが書き込まれていないか、といった点を確認する。もしこれらのいずれかの兆候が見られた場合は、サーバーがすでに侵害されている可能性があるため、PHPユーザーがアクセス可能な認証情報（データベースのパスワードやFTPアカウントのパスワードなど）をすべて直ちに変更する必要がある。

サイバーセキュリティの世界では、新しい脆弱性が日々発見され、それと同時に攻撃者による悪用も絶え間なく行われている。システムエンジニアを目指す上で、このような脆弱性情報をいち早くキャッチし、その仕組みを理解し、適切な対策を講じる能力は非常に重要となる。WordPressのような広く使われているソフトウェアの脆弱性は、多くのウェブサイトに影響を与えるため、その動向に常に注目し、セキュリティ意識を高く保つことが求められる。