Hackers start exploiting critical WordPress flaw for code execution

攻撃者は、CVE-2026-87902の脆弱性を持つWordPressサイトへの偵察から、この脆弱性を悪用して、アクセスされるとシェルコマンドを実行するファイルをディスクに書き込む段階へと移行しています。

初期の攻撃トラフィックは単なる偵察目的のみであり、WordPress 7.1.2でパッチがリリースされてから5時間以内に開始されました。悪意のある活動は10倍に増加し、攻撃者は現在、ペイロードの配信を試みています。

WordPressのセキュリティ企業Patchstackによると、9月22日17時44分（UTC）に、同社が保護している複数のサイトを標的とした、少数のIPアドレスからの最初の悪意のあるリクエストを検知したとのことです。

セキュリティ研究者のロバート・レスル氏によって発見されたこの問題は、特定の条件下でリモートコード実行（RCE）につながる可能性のある、認証不要のパストラバーサルバグである。

WordPressセキュリティチームは、CVE-2026-87902の深刻度を「重大」と評価し、10点満点中9.2点を付与している。

「認証されていない攻撃者は、get_page_template()によるページテンプレートの解決において、アクティブなテーマディレクトリ外の、任意の読み取り可能なローカル.phpファイルを含めるように仕向けることができる」と、公式のアドバイザリには記載されている。

RCEが発生するためには、以下の条件が必要です。

  • アクティブな親テーマまたは子テーマに、page-templates など、名前が page- で始まるトップレベルディレクトリが存在すること。また、攻撃者は、存在し、かつウェブサーバーから読み取り可能なローカルの .php ファイルを標的とする必要があります。
  • インクルードされるファイルは、Webサーバーのアカウントから読み取り可能でなければなりません。このアドバイザリでは、PHPの`register_argc_argv`設定が有効な場合の一例として`pearcmd.php`が挙げられています。

WordPressのアドバイザリによると、Docker用の公式PHPイメージが影響を受けており、PHPバージョン8.5以前が使用されている場合のcPanelのデフォルト設定も同様に影響を受けると指摘されています。

WordPressは昨日、バージョン7.1.2のリリースによりCVE-2026-87902に対処しました。また、この脆弱性の深刻度が「重大」であるため、修正プログラムは4.7までのすべてのブランチにバックポートされています。4.6以前のリリースについては、この脆弱性に対する修正は提供されません。

Patchstackの報告によると、観測された偵察活動において、攻撃者は脆弱なサイトを特定するために、通常のWordPressコアファイルのインクルードを試みていた模様です。

本日より、研究者らはこの脆弱性に関連するトラフィックが10倍に増加し、ディスクへの書き込み段階が含まれていることを確認しました。

「第3段階では、config-showがconfig-createに置き換えられます。これにより、pearcmdは指示された場所に、攻撃者が制御する内容を含むファイルを問題なく書き込みます。」

ペイロードの中には、CVE-2026-87902を介してそのホストが攻撃可能であることを示す文字列のみを書き込むものもあります。しかし、研究者たちは「アクセス時にシェルコマンドを実行する短いタグを書き込む」ペイロードも確認しており、これは悪意のある活動を示しています。

これらのファイルは /tmp および /var/tmp に配置され、wp-pear-rce-flag.php、poc87902.php、luci_<ランダム>.php、zeta_<ランダム>.php といった名前が付けられています。

このセキュリティ企業は、実際に動作するリクエストの例を公開しなかったものの、観測されたプローブでは、有効な「page_id」とともに、「pagename」に二重エンコードされたトラバーサルシーケンスが使用されていると警告しています。

ブロックリストに追加すべき送信元IPアドレスは、169.58.48.193、169.58.48.195、および2001:df1:e8c0::106bです。

CVE-2026-87902が現在積極的に悪用されていることを踏まえ、ウェブサイト管理者はできるだけ早くWordPressバージョン7.1.2に更新し、ログを確認して悪意のある活動がないか確認する必要があります。