【ITニュース解説】CVE-2026-87902: Remote File Inclusion in WordPress Core, and the Scale Behind It

現在、最も広く利用されているコンテンツ管理システムであるWordPressの核となる部分に、重大な脆弱性が発見されたというニュースが報じられた。この脆弱性は「CVE-2026-87902」という識別番号が付けられ、「Remote File Inclusion（RFI）」と呼ばれる種類に分類される。深刻度が高く評価されており、すでに実際のサイバー攻撃で悪用されていることが確認されているため、早急な対応が求められている。

Remote File Inclusion、略してRFIとは、ウェブアプリケーションが本来意図していない、インターネット上の外部の場所にあるファイルを読み込んで実行してしまう、という性質の脆弱性を指す。通常、ウェブサイトは決められたサーバー内のファイルやデータベースから情報を取得して表示するが、RFIの脆弱性があると、攻撃者が指定した別の場所にあるプログラムファイルなどを強制的に読み込ませることが可能になる。その結果、ウェブサイトのサーバー上で攻撃者の悪意あるコードが実行されてしまい、ウェブサイトの乗っ取りやデータの盗難、さらにはサーバー自体の不正操作につながる危険性がある。今回のWordPressの脆弱性もこのようなタイプであり、実際に読み込まれたコンテンツがどのように処理されるかによって実害の範囲が大きく変わるため、具体的な悪用メカニズムは公式のアドバイザリで確認することが重要である。

この脆弱性が特に注目されるのは、WordPressが世界中で非常に多くのウェブサイトで利用されているためである。2026年10月1日時点の調査では、インターネット上でWordPressの利用が確認できるウェブサイトが約800万件近くに上ることが報告されている。この数字は、インターネットに接続されたWordPressのサイトすべてを指し、すでにパッチが適用されているサイトや、プロバイダによって一元的に管理されているサイトも含まれるため、脆弱なサイトの正確な数を表すものではない。しかし、これほど膨大な数のサイトが存在するという事実が、この脆弱性の深刻度を飛躍的に高めている。これだけの規模になると、特定のサイトを狙わずとも、脆弱なサイトを自動的に探し出して攻撃する仕組みが大量の標的を見つけてしまう可能性があるからだ。WordPress自体が特別に脆弱なシステムというわけではなく、その圧倒的な普及率が、今回のようなコアの脆弱性の影響を大規模なものにしている。また、WordPressは膨大な数のプラグインやテーマによって機能が拡張されるが、これらの追加コードはコアのアップデートだけでは修正されず、別途のセキュリティ管理が必要となる点も、複雑さを増す要因である。

このような状況において、ウェブサイトの運営者やシステムエンジニアが取るべき対応は明確だ。まず何よりも、WordPressのコアを修正済みの最新バージョンへ速やかにアップデートすることが必須となる。アップデート後には、WordPressのダッシュボードから現在稼働しているバージョンを必ず確認し、正しく適用されていることを確かめるべきだ。次に、ウェブサイトの設定や導入しているプラグインの中に、外部のリソースを読み込むような機能がないかを確認し、もし不要な機能であれば、セキュリティリスクを避けるためにその機能を無効にすることを強く推奨する。さらに、ウェブサーバーからの外部へのリクエストをブロックするようなサーバー側の設定も、万が一の際の最終防衛策として非常に有効だ。

そして、アップデートだけでは解決しない、より深い問題にも目を向ける必要がある。すでに攻撃を受けていた場合、改ざんされたコアファイル、身に覚えのない管理者アカウントの追加、データベース内に埋め込まれた悪意のあるスクリプト、不正に設定されたスケジュールタスクなど、様々な形で攻撃の痕跡が残っている可能性がある。これらはアップデートでは自動的に削除されないため、一つ一つ丁寧にチェックし、発見された場合は個別に除去する作業が求められる。また、コアの脆弱性対応だけでなく、導入しているプラグインやテーマについても同様にセキュリティレビューを実施し、最新の状態に保ち、不審な点がないか確認することが重要だ。多数のWordPressサイトを管理している場合は、個々のサイトが脆弱性の影響を受ける単位となるため、全体として一つのバージョンを管理するのではなく、サイトごとに細かくバージョンを追跡し、確実にアップデートされているかを確認する体制が必要になる。

今回の脆弱性のような情報が公開されると、悪意のある攻撃者は即座にインターネット上をスキャンし始め、脆弱なシステムを探し出す。このスキャンは決して止まることなく、大量のWordPressサイトが存在する以上、標的を見つけるのは時間の問題となる。したがって、ウェブサイトの露出状況や、ベンダーが発表している悪用状況の報告は、特定のサイトがすでに狙われたことを証明するものではないとしても、コアのアップデートを通常の定期メンテナンスではなく、緊急の変更として最優先で対応すべき十分な根拠となる。システムエンジニアにとって、このようなニュースは単なる情報ではなく、自身の管理するシステムを守るための緊急アラートとして捉えるべきものであり、常に最新のセキュリティ情報を収集し、迅速に対応できる準備を整えておくことが、今後のデジタル社会において不可欠なスキルとなる。