そもそもログイン突破以外の方法でどのようにして、システムに入り込めてしまうのか？

2026-10-05

不正アクセスの手口というと、パスワードを破ってログインする方法を思い浮かべる方が多いと思います。

しかし、2026年9月にWordPressで見つかった欠陥を使うと、ログインしていない攻撃者でも、条件次第でサイト上でプログラムを動かせました。ログインを突破せずに、どうやってシステムに入り込めてしまうのでしょうか。

誰でも使える処理のプログラムに欠陥があると、ログインしなくてもシステムに入り込まれることがある

ウェブサイトは、ログインしていない訪問者が送る要求も受け付けています。記事のページを表示する、サイト内を検索する、問い合わせフォームを送る、といった処理です。この処理を書いたプログラムに欠陥があると、ログインしていない人が送った要求で、サイトの持ち主が想定していない動きをさせられます。

サイト上で好きなプログラムを動かせれば、ログインしなくても、サイトのファイルを書き換えたり、別のプログラムを置いたりできます。ソフトの欠陥を突く不正アクセスの手口は、この形でシステムに入り込みます。パスワードと2段階認証で防げるのは、ログイン画面からの侵入です。欠陥はログイン画面を通らない処理の中にあるため、パスワードを長くしても、2段階認証を入れても、この侵入は防げません。

2026年9月にWordPressで見つかった欠陥は、修正版が出る前のバージョンにあった

2026年9月に、誰でも使える処理にある欠陥がWordPressで見つかりました。WordPress公式は9月22日に修正版の7.1.2を公開し、ログインしていない攻撃者が、条件次第でサイト上で任意のプログラムを動かせるおそれがあると説明しています。この欠陥には、CVE-2026-87902という番号が付いています。

以下のとおりです。

比べる点	内容
影響するバージョン	4.7.0から7.1.1までのうち、修正版より前のもの
修正版	7.1.2。古い系列にも7.0.6、6.9.9などが出ている
修正版が出た日	2026年9月22日
米国の政府機関が「悪用が確認された脆弱性」に登録した日	2026年9月25日

修正版が出たその日に、攻撃者はこの欠陥を使えるサイトを探しはじめていました。 セキュリティ会社のPatchstackは、修正版が出た9月22日のうちに、この欠陥を使えるかを探る通信を観測したと報告しています。米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は9月25日に、この欠陥を、悪用が確認された脆弱性の一覧に加えました。

この欠陥を直す方法は、修正版への更新だけ

欠陥がWordPressのプログラムそのものにあるので、WordPress公式は、直ちに修正版へ更新するよう勧めています。自動更新が使えるサイトでは、WordPressが修正版への更新を自動で始めます。

ただし、レンタルサーバーのエックスサーバーは、9月24日に自社の利用者へ向けた告知で、自動更新を有効にしている場合も、実際に更新が終わっているかを管理画面で確かめるよう求めています。自動更新を有効にしていても、更新が終わったかどうかは、自分のサイトの管理画面で確かめます。

WordPressのバージョンは、管理画面の右下で確かめる

更新が終わったかどうかは、管理画面に表示されるバージョンの番号を見ればわかります。WordPressの管理画面にログインすると、画面の右下に「バージョン 7.1.2」のように表示されます。ダッシュボードの「概要」の欄にも「WordPress 7.1.2」と出ます。

表示された番号が、使っている系列の修正版の番号と同じか、それより大きければ、今回の欠陥は直っています。 系列は、番号の左から2つ目までが同じものを指します。7.1系なら7.1.2、7.0系なら7.0.6、6.9系なら6.9.9、6.8系なら6.8.10が修正版です。それより前の系列は、WordPress公式のリリース一覧で、2026年9月22日に出た番号が修正版です。