CVE-2026-87902
WordPress Core <= 7.1.1 - Unauthenticated Local File Inclusion via locate_template() Path Traversal
内容
An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.
内容の説明は提供元の原文 (英語) です。翻訳は行っていません。意味を取り違えないためです。
影響を受ける対象とバージョン
| 対象 | 種別 | 影響を受けるバージョン | 修正版 |
|---|---|---|---|
WordPress wordpress |
WordPress本体 | 4.7 〜 4.7.36 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 4.8 〜 4.8.31 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 4.9 〜 4.9.32 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.0 〜 5.0.28 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.1 〜 5.1.25 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.2 〜 5.2.27 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.3 〜 5.3.24 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.4 〜 5.4.22 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.5 〜 5.5.21 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.6 〜 5.6.20 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.7 〜 5.7.18 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.8 〜 5.8.16 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 5.9 〜 5.9.17 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.0 〜 6.0.15 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.1 〜 6.1.13 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.2 〜 6.2.12 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.3 〜 6.3.11 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.4 〜 6.4.11 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.5 〜 6.5.11 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.6 〜 6.6.8 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.7 〜 6.7.8 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.8 〜 6.8.9 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 6.9 〜 6.9.8 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 7.0 〜 7.0.5 | 4.7.37 以降 |
WordPress wordpress |
WordPress本体 | 7.1 〜 7.1.1 | 4.7.37 以降 |
優先度の判断材料
| 深刻度 | 高 (CVSS 8.1) |
|---|---|
| 実際の悪用 | 確認されています。CISA KEV に 2026-09-24 付で登録されました。 (米国連邦機関の対応期限 2026-09-27) |
| 悪用される確率 | 今後30日以内に悪用される確率は 95.8% (高い) です (EPSS 2026-10-29 時点、全体の上位 0.1% に相当)。 |
対処
修正版が公開されています (4.7.37 以降)。 バックアップを取ったうえで更新し、更新後にサイトの表示とフォームの動作を確認してください。 更新だけで解消するものが大半です。
自分のサイトが実際にこの影響範囲のバージョンを使っているかは、 WordPress脆弱性診断 にURLを入れると確認できます。
出典
- Wordfence Intelligence の脆弱性レコード
- NVD のCVEレコード (CVE-2026-87902)
- CVE.org のレコード
- https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
- https://patchstack.com/articles/cve-2026-87902-attackers-started-probing-wordpress-sites-hours-after-the-patch/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-87902
出典とライセンス
本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。
- 脆弱性情報: Wordfence Intelligence (Defiant Inc.)
- CVEの一次情報: NVD (NIST National Vulnerability Database)
- 悪用の実績: CISA Known Exploited Vulnerabilities Catalog
- 悪用される確率: EPSS (FIRST.org)
- プラグイン・テーマのメタ情報: WordPress.org
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions
Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use
CVE® は The MITRE Corporation の登録商標です。