2026年9月22日、WordPress 7.1.2 が公開されました。
WordPress 7.1.2 は、通常の不具合修正をまとめたメンテナンスリリースではなく、1件の脆弱性を修正するセキュリティリリースです。脆弱性とは、攻撃や情報漏えいなどにつながる可能性がある、プログラム上の弱点を指します。
今回の脆弱性は Critical (重大) と評価されており、条件がそろうと、WordPress へログインしていない攻撃者にサーバー上で不正なプログラムを実行される可能性があります。WordPress.org も、サイトを直ちに更新するよう案内しています。
「ログイン不要」「重大」と聞くと不安になりますよね。ただし、すべての WordPress サイトで同じように攻撃が成立するわけではなく、利用中のテーマとサーバー環境の両方に条件があります。
この記事では、WordPress 7.1.2 で何が修正されたのか、どのバージョンが影響を受けるのか、サイト所有者が今すぐ何を確認すれば良いのかを、2026年9月24日時点の公式情報をもとに整理します。
まず確認したい結論
今回の更新について、最初に押さえておきたい内容は次の通りです。
- WordPress 7.1.2 は、2026年9月22日に公開されたセキュリティリリースです。
- 修正されたのは、CVE-2026-87902 という1件の脆弱性です。
- 深刻度は Critical、CVSS v4 の基本値は9.2です。CVSS は脆弱性の深刻さを0から10までの数値で示す共通の評価方法で、v4 は評価基準のバージョン4を意味します。
- 攻撃者は WordPress へログインしている必要がありません。
- 条件がそろうと、攻撃者が離れた場所からサーバー上で不正なプログラムを動かす「遠隔コード実行 (RCE)」につながる可能性があります。
- ただし、攻撃の成立には、利用中のテーマの構造とサーバー環境に関する前提条件があります。
- 条件に当てはまるかを自分で判断して更新を見送るのではなく、修正版へ更新することが基本の対応です。
- WordPress 7.1 系だけでなく、7.0から4.7までの旧系列にも修正版が公開されています。
- WordPress 4.6以前には、今回のセキュリティ修正が提供されません。
どのような脆弱性が修正されたのか
今回修正されたのは、ページテンプレートを探す処理における「パストラバーサル」という脆弱性です。
WordPress のテーマには、固定ページごとに見た目や構成を変えるための「ページテンプレート」という PHP ファイルがあります。通常、WordPress は有効化しているテーマや子テーマの決められた場所から、そのファイルを探して読み込みます。
パストラバーサルは、ファイルの場所を示す文字列を不正に操作し、本来探すべきフォルダーの外側へ処理を移動させる攻撃です。今回の問題では、攻撃者が指定した、サーバー内の読み取り可能な PHP ファイルを WordPress に読み込ませられる可能性がありました。
さらに条件がそろうと、遠隔コード実行 (RCE) につながります。これは、攻撃者が離れた場所から、サーバー上で本来許可されていないプログラムを動かせてしまう状態です。成功した場合、サイトのファイルやデータの閲覧・変更、サイト停止など、大きな影響を受ける可能性があります。
この脆弱性は、公式のセキュリティ情報で Critical、CVSS v4 の基本値9.2と評価されています。
ログイン不要でも、攻撃の成立には条件がある
今回の脆弱性では、攻撃者が WordPress のユーザーアカウントを持っている必要はありません。サイト管理者が不審なリンクを開くといった操作も不要です。
一方で、公式のセキュリティ情報には、攻撃の成立に関係する次の前提条件が示されています。
- 元になる親テーマ、またはそのカスタマイズ用に使う子テーマの直下に、名前が
page-から始まるフォルダーがある - 攻撃に利用できる PHP ファイルがサーバー内にあり、Web サーバーから読み取れる
- その PHP ファイルを利用して不正なプログラムを実行できるサーバー設定になっている
1つ目の条件には、page-templates というフォルダーも含まれます。公式情報では、古い標準テーマの Twenty Twelve と Twenty Fourteen のほか、Neve、Hestia、Sydney などのテーマが例として挙げられています。
2つ目と3つ目については、サーバー内に特定の PHP ファイルがあり、関連する PHP 設定が有効になっている場合などが該当します。コンテナー環境を作るための公式 PHP Docker イメージや、PHP 8.5未満を利用するサーバー管理ツール cPanel の標準設定も、条件に当てはまる例として示されています。
ここで注意したいのは、例に挙がったテーマを使っているだけで、必ず攻撃が成功するわけではないという点です。反対に、一覧にないテーマなら安全だと言い切ることもできません。テーマ内のフォルダー構成に加えて、サーバー内のファイルや PHP の設定まで確認する必要があるためです。
サイト所有者がこの条件をすべて調査してから対応を決めるのは、あまり現実的ではありません。修正版が公開されている以上、条件に該当するかを推測するより、WordPress を更新する方が確実です。
WordPress 7.1.2 では読み込める場所を厳しく確認するようになった
WordPress 7.1.2 で変更されたファイルは、ページテンプレートを扱う wp-includes/template.php です。
今回の修正では、テーマの外側を示す可能性があるファイルパスを検査し、ページテンプレートとして読み込める場所がテーマなどの許可された範囲に収まっているかを確認する処理が加えられています。
難しく見える修正ですが、要点はシンプルです。ページテンプレートを探す処理が、決められたテーマの範囲から外へ出ないようにしたと捉えると分かりやすいでしょう。
WordPress 7.1 を使っていなくても確認が必要
今回の脆弱性は、WordPress 7.1 系だけの問題ではありません。WordPress 7.0から4.7までの旧系列にも、修正版が公開されています。
| 利用中の系列 | 今回の修正版 |
|---|---|
| WordPress 7.1 | 7.1.2 |
| WordPress 7.0 | 7.0.6 |
| WordPress 6.9 | 6.9.9 |
| WordPress 6.8 | 6.8.10 |
| WordPress 6.7 | 6.7.9 |
| WordPress 6.6 | 6.6.9 |
| WordPress 6.5 | 6.5.12 |
| WordPress 6.4 | 6.4.12 |
| WordPress 6.3 | 6.3.12 |
| WordPress 6.2 | 6.2.13 |
| WordPress 6.1 | 6.1.14 |
| WordPress 6.0 | 6.0.16 |
| WordPress 5.9〜5.0 | 5.9.18、5.8.17、5.7.19、5.6.21、5.5.22、5.4.23、5.3.25、5.2.28、5.1.26、5.0.29 |
| WordPress 4.9〜4.7 | 4.9.33、4.8.32、4.7.37 |
| WordPress 4.6以前 | 今回のセキュリティ修正なし |
対象バージョンと修正版の一覧は、WordPress 7.1.2 の公式リリースノートで確認できます。
WordPress.org は旧系列にも今回の修正を提供していますが、積極的にサポートされているのは最新バージョンだけとも説明しています。
古い系列の修正版へ更新できれば、今回の脆弱性への対応は進められます。ただし、古い WordPress を使い続ける長期的なリスクがなくなるわけではありません。特に WordPress 4.6以前を利用している場合は今回の修正を受け取れないため、最新版へ更新する方法やサイト移行について、制作会社や保守担当者へ相談した方が良いでしょう。
7.1.1 へ更新したばかりでも、もう一度確認する
WordPress 7.1.1 は、2026年9月17日に公開されたメンテナンスおよびセキュリティリリースでした。その5日後となる9月22日に、今回の WordPress 7.1.2 が公開されています。
そのため、7.1.1 へ更新したばかりのサイトでも、7.1.2への更新が必要です。「先週更新したから大丈夫」と判断せず、現在のバージョンを確認してください。
サイト所有者が今すぐ確認したいこと
1. 現在の WordPress バージョンを確認する
WordPress の管理画面へログインし、「ダッシュボード」→「更新」を開きます。
WordPress 7.1 系であれば7.1.2、古い系列であれば前の表にある修正版になっているか確認してください。自動更新のメールが届いていても、実際のバージョンを管理画面で確認しておくと安心です。
2. バックアップと復元方法を確認する
セキュリティ更新は早く適用したい一方、問題が起きたときに戻せる準備も必要です。
最低限、次の点を確認します。
- WordPress のファイルとデータベースのバックアップがある
- バックアップの取得日時が新しい
- 問題が起きたときに、誰がどの方法で復元するか分かる
- 更新後すぐにサイトを確認できる時間を確保している
バックアップや復元方法が分からないまま何日も更新を止めるのではなく、早めにレンタルサーバー会社や保守担当者へ相談してください。
3. 利用中の系列に対応した修正版へ更新する
管理画面の「ダッシュボード」→「更新」から、利用中の系列に対応する修正版へ更新します。
管理画面を操作しなくても WordPress 本体を更新する「自動バックグラウンド更新」に対応したサイトでは、更新処理が自動的に始まります。ただし、自動更新を無効にしている、サーバーや管理ツール側で更新を制御している、WordPress が更新ファイルを書き換える権限に問題がある、といった場合は自動で更新されないことがあります。
自動更新されるはずだと決めつけず、更新後のバージョンまで確認することが大切です。
4. 更新後に表示と重要な機能を確認する
更新が完了したら、少なくとも次の場所を確認します。
- トップページと主要ページが表示できる
- 固定ページが正しいレイアウトで表示される
- WordPress の管理画面へログインできる
- 問い合わせフォームを送信できる
- 予約、購入、会員ログインなどの重要な機能が動く
- レンタルサーバーや WordPress にエラーが表示されていない
今回の修正は、固定ページのテンプレートを探して読み込む処理に関係しています。独自のページテンプレートを使っているサイトでは、対象ページの表示も確認しておくと良いでしょう。
制作・保守担当者が追加で確認したいこと
制作会社や保守担当者は、更新作業に加えて次の点も確認しておきたいところです。
- 親テーマと子テーマの直下に、
page-から始まるフォルダーがあるか - サイトが WordPress 7.1.2、または利用中の系列に対応した修正版へ更新されたか
- 独自のページテンプレートを使う固定ページが正常に表示されるか
- 更新後の PHP エラーログや監視サービスに、新しい異常が出ていないか
- WordPress 4.6以前の場合、現行環境を保護しながら更新や移行を進める方法を検討できるか
テーマのフォルダー名を変更すれば、攻撃条件の1つを外せる可能性はあります。しかし、ページテンプレートの参照が切れて表示へ影響することも考えられます。通常はテーマを場当たり的に変更するより、WordPress 本体を修正版へ更新し、更新後の表示を確認する方が安全で現実的です。
自分で対応できる範囲と、相談した方がよい状態
管理画面へログインでき、バックアップと復元方法が分かり、更新後の確認も自分で行える場合は、前述の手順で対応できます。
一方で、次のような場合は、制作会社や保守担当者へ相談することをおすすめします。
- WordPress の管理画面へログインできない
- 現在のバージョンが分からない
- バックアップや復元方法が分からない
- WordPress 4.6以前を利用している
- 独自テーマや大きなカスタマイズがあり、更新の影響を判断できない
- EC (ネットショップ)、予約、会員管理など、停止すると影響の大きい機能がある
- 更新後に固定ページが表示されない、画面が真っ白になる、レイアウトが崩れる
- 不審なファイルや改ざんの形跡があり、すでに被害を受けている可能性がある
相談するときは、次の情報を用意しておくと状況を共有しやすくなります。
- サイトの URL
- 現在の WordPress バージョン
- 管理画面へログインできるか
- 利用中のテーマ名と子テーマの有無
- レンタルサーバーの名称
- バックアップの有無と取得日時
- 更新後に確認したい重要な機能
- すでに更新した場合は、更新日時と発生している症状
まとめ
WordPress 7.1.2 は、ページテンプレートを探す処理にあった脆弱性を修正するセキュリティリリースです。条件がそろうと、ログインしていない攻撃者にサーバー上で不正なプログラムを実行される可能性があり、深刻度は Critical と評価されています。
一方で、攻撃が成立するには、テーマのフォルダー構成とサーバー環境に関する前提条件があります。特定のテーマを使っているだけで必ず攻撃されるわけではありませんし、一覧にないテーマなら安全だとも言い切れません。
個人的には、今回は「自分のサイトが条件に当てはまるか」を時間をかけて調べてから更新するより、保守運用上の優先度を高くして、次の順番で対応するのが現実的だと考えています。
- 現在の WordPress バージョンを確認する
- バックアップと復元方法を確認する
- 利用中の系列に対応した修正版へ更新する
- 更新後の表示と重要な機能を確認する
オレインデザインでは、WordPress のバージョン確認、バックアップ、更新作業、更新後の表示・機能確認まで含めたWordPress 運用・実装サポートを行っています。自分のサイトが今回の更新対象か分からない、独自テーマが使われていて自分で更新するのが不安といった場合は、サイトの現状を整理するところからお問い合わせフォームよりご相談ください。
この記事が、安全に更新を進めるための参考になれば嬉しいです。
