WordPressセキュリティ

セキュリティベンダーのPatchstackによると、7.1.2公開から5時間足らずの2026年9月22日17:44 UTC（日本時間9月23日2:44）頃には既に走査（プロービング）が観測されました。その後、攻撃者は無害なコアファイルへの偵察的アクセスから、実際に「pearcmd.php」をインクルードしてディスク上にPHPファイル（Webシェル）を書き込む実攻撃へと段階を進めていることが報告されています。9月23日時点で、この脆弱性を突く走査ツール（Nucleiテンプレート）の流通も確認されました。こうした状況を受け、シンガポールのサイバーセキュリティ庁（CSA）も9月24日付で注意喚起を発出しています。

WordPressコア本体の重大な脆弱性「CVE-2026-87902」（CVSS 9.2）について、続報です。パッチ公開からわずか5時間足らずで、実際にこの脆弱性を狙った探索・悪用の試みが観測され始めたことが複数のセキュリティベンダーから報告されています。前回時点では「悪用報告なし」とお伝えしていましたが、状況が変わりましたので、まだ更新が済んでいない方は本記事を機に優先度を上げてご対応ください。

WordPressは5日前の2026年9月17日にもバージョン7.1.1をリリースし、保存型XSSや、特別に細工したURLで非アクティブテーマを強制インストールされ得る「Click2Shell」と呼ばれる問題を含む11件のセキュリティ修正を行っています。7.1.0以前からまだ更新していない場合は、今回の7.1.2への更新でこれらもまとめて解消されます。

Hikosachi 開発チームです。本日は、人気のイベント管理プラグイン「The Events Calendar」で発見された、深刻度が最も高い未認証のリモートコード実行（RCE）脆弱性についてお伝えします。60万件以上のサイトで利用されて...

今回は「WordPress本体の緊急性の高いセキュリティ更新」と「実際に悪用が続いているプラグインの重大脆弱性」という、性質の異なる2件のニュースが重なりました。特に後者はパッチ公開から半年以上経っても攻撃が続いている点が特徴的で、導入プラグインの棚卸しと定期的なアップデート確認の重要性を改めて示す事例といえます。

今回のケースは、パッチ公開から半年以上が経過してもなお大規模な悪用が続いている点が特徴です。WooCommerce関連の拡張プラグインを導入しているサイトでは、この機会にプラグイン一覧とバージョンを棚卸しし、「更新済みのはず」のプラグインも含めて実際のバージョン番号を確認することをおすすめします。

今回ご紹介したCryptoPayment Gateway・Quentn WPとも、該当プラグインをお使いのサイトは優先的にご確認ください。また、WordPress.orgの自動セキュリティレビューのような仕組みは心強い一方、あくまで新規配布されるコードへの対策であり、既にインストール済みの脆弱なバージョンを自動で修正してくれるものではありません。プラグイン・テーマの定期的な棚卸しとアップデートは引き続き欠かせない基本対策です。Hikosachiでは今後も不審なアクセスの監視を行い、検知情報を共有してまいります。

2026年9月12日（現地時間）に登録・公表されたWordPress関連の脆弱性の中から、前回（9月13日付）のまとめでは取り上げなかった、CVSSスコアの高い重大な脆弱性が新たに確認されています。特に学習管理システム（LMS）プラグイン「Masteriyo LMS」に見つかった脆弱性はCVSSスコア9.9（Critical）と非常に深刻です。以下、主なものを対象プラグイン・バージョン・対応策とともにご紹介します。

特にThe Events Calendar・Everest Forms・ThemeREX Addonsは未認証のまま重大な被害につながる可能性があるため、ご利用中のサイトで該当プラグインを使用している場合は、バージョンを確認のうえ早急な更新をおすすめします。

ご利用中のサイトで WooCommerce、LiteSpeed Cache、Really Simple Security のいずれかを使用している場合は、バージョンをご確認のうえ早めの更新をご検討ください。Hikosachi では引き続き不審なアクセスの監視を行い、検知情報を共有してまいります。