Oct 3, 2026

サーバー・ツール環境

WordPress 7.1.2に更新できた？副業ブログの確認手順

※本サイトの記事にはアフィリエイト広告（PR）を含む場合があります

WordPressで副業ブログを運営しているなら、管理画面の「ダッシュボード」→「更新」で、バージョンが修正版になっているかを今すぐ確かめてください。2026年9月22日に公開された7.1.2で、ログイン不要で悪用できる重大な脆弱性（CVE-2026-87902）が直りました。

自動更新を有効にしていても、更新が止まっているブログがあります。ConoHa WINGとエックスサーバーはどちらも「更新が完了しているか管理画面で確かめてほしい」と案内しています。

この記事では、修正版の番号、確認の手順、自動更新されない原因、2社の対応の違い、攻撃の痕跡の見方をまとめました。最終確認日は2026-10-03です。

CVE-2026-87902で何が起きるか

CVE-2026-87902は、WordPress本体のページの表示のしくみにある弱点です。ConoHa WINGのお知らせによると、悪用されるとサーバー上のファイルを不正に読み込まれ、場合によっては任意のプログラムを実行されます。

エックスサーバーのお知らせは、ログインも不要で、サイトの乗っ取りにつながるおそれがあると説明しています。深刻度はCVSS 4.0で9.2（Critical）です。

攻撃はすでに始まっています。セキュリティ会社CrowdSecの報告では、公開から5日間で約3万のIPアドレスがこの弱点を狙いました。修正版の公開から数時間で、偵察のアクセスが観測されたという報告もあります。

副業ブログは、アフィリエイトのリンクを載せた小さなお店です。乗っ取られて詐欺サイトへ飛ばされると、読者にも広告主にも迷惑がかかります。ASPの審査やGoogleの評価に響く場合もあります。

対象のバージョンと修正版

対象はWordPress 4.7.0から7.1.1までです。9月17日に出たばかりの7.1.1も含まれます。

修正は古い系列にも配られています。WordPress公式のリリース情報をまとめた解説記事によると、主な系列の修正版は次のとおりです。

使っている系列	修正版（これ以上なら対応済み）
7.1系	7.1.2
7.0系	7.0.6
6.9系	6.9.9
6.8系	6.8.10
6.7系	6.7.9
4.7系	4.7.37
4.6以前	修正の配布なし

表にない系列にも、9月22日以降に修正版が出ています。迷ったら最新の7.1.2に上げるのが確実です。

悪用が成立する条件

この弱点で乗っ取りまで進むには、条件がそろう必要があります。解説記事の整理では、次の2つです。

使っているテーマの中に「page-」で始まるフォルダがある（旧公式テーマのTwenty TwelveとTwenty Fourteen、海外製のNeve・Hestia・Sydneyが例に挙がっている）
サーバー側に、読み込ませる先になる特定のPHPファイルがある

条件に当てはまらなければ、すぐに乗っ取られるわけではありません。ただし、エックスサーバーは「今後新たな攻撃方法が判明した場合には影響を受ける可能性がある」と案内しています。条件の判定に時間を使うより、更新するほうが早く確実です。

修正版になっているかの確認手順

確認はWordPressの管理画面だけで終わります。

WordPressの管理画面にログインする
左メニューの「ダッシュボード」→「更新」を開く
画面上部の「現在のバージョン」の数字を見る

数字が上の表の修正版以上なら対応済みです。下回っていれば、同じ画面の「今すぐ更新」を押します。

自動更新のメールも手がかりになる

WordPressは、本体が自動更新されると管理者のメールアドレスに通知を送ります。件名は「サイトがWordPress 7.1.2に自動更新されました」といった内容です。

9月22日以降にこのメールが届いていれば、更新は進んでいます。届いていないなら、自動更新が止まっている可能性があります。管理画面の数字を確かめてください。

ブログを複数持っている人

ブログごとにWordPressは別々に動いています。1つ目が更新済みでも、2つ目が古いままという例は珍しくありません。ドメインごとに管理画面へ入って確かめます。

テスト用に作って放置しているWordPressも対象です。使っていないなら、サーバーのコントロールパネルから削除するのも1つの方法です。

自動更新されない主な原因

WordPress本体には、小さな修正版を自動で入れるしくみがあります。それでも更新されないブログには、次の原因がよくあります。

wp-config.phpというファイルで自動更新を止める設定が入っている
セキュリティ系や管理系のプラグインで自動更新を止めている
サーバーのファイルの権限の都合で、更新が途中で失敗している
制作会社や知人に作ってもらい、手動で更新する決まりになっている

ブログを自分で作った人なら、多いのは2つ目です。プラグインの設定画面に「自動更新」の項目がないか確かめてください。

原因が分からなくても、管理画面の「今すぐ更新」で手動更新できれば対応は済みます。自動更新を直す作業は、更新が終わってからで間に合います。

「今すぐ更新」で失敗する場合

更新ボタンを押してもエラーで止まるなら、先にプラグインをすべて最新にしてから、もう一度試します。

それでも直らない場合は、サーバー会社の問い合わせ窓口に相談します。「CVE-2026-87902の対応で本体を更新できない」と伝え、出たエラーの文面を添えると話が早く進みます。

ConoHa WINGとエックスサーバーの対応の違い

2社とも注意喚起を出していますが、サーバー会社側でどこまで手を打ったかが違います。

CVE-2026-87902 ｜サーバー会社の対応

ConoHa WINGとエックスサーバーの対応

どちらも「管理画面での確認」は利用者の作業です

	サーバー会社による本体の更新	追加の緩和策
エックスサーバー 9/25更新のお知らせ	△ 条件に当てはまるサイトだけ実施	○ 無料プラグインに追加
ConoHa WING 9/29更新のお知らせ	△ WordPressの自動更新に任せる案内	△ 案内は確認できず
自動更新を止めているサイト 2社共通	× 自分で更新が必要	△ 本体の更新の代わりにはならない

※2社の公式お知らせ（2026-10-03確認）にもとづきます
※ConoHa WINGの緩和策は、公式のお知らせで案内を確認できなかったという意味です

AI副業ラボ

エックスサーバーの対応

エックスサーバーは、攻撃の条件に当てはまるサイトのWordPressを、9月25日の21時ごろから22時ごろにかけて最新版へ更新しました。更新したサイトには、メールで個別に案内しています。

ただし、お知らせには「サイトの状態によってはアップデートを完了できなかったケース」があると書かれています。メールが届いた人も、管理画面で数字を確かめてください。

あわせて、エックスサーバーの無料プラグイン「CloudSecure WP Security」に、この弱点への緩和策が追加されました。最新版のプラグインを有効にしていれば、追加の設定なしで働きます。緩和策は本体の更新の代わりではないので、更新は別に済ませます。

ConoHa WINGの対応

ConoHa WINGのお知らせは、利用者を2つに分けて案内しています。

自動更新が有効な人：順次更新されているので、管理画面で完了を確かめる
自動更新を止めている人：早めに7.1.2へ手動で更新する

9月29日の追記では、「WordPressかんたんセットアップ」などで新しく入れるWordPressが7.1.2になったと案内されました。これから新しいブログを作る人は、最初から修正版で始まります。すでに入っているWordPressは、自分で確かめる必要があります。

更新の前後にやること

本体の更新ボタンを押してからの作業は、管理画面の中で完結します。前後に2つの作業を足すと、失敗したときに慌てずに済みます。

更新の前にバックアップを確かめる

本体の小さな修正版で表示が崩れる例は多くありません。それでも、戻せる状態を作ってから更新すると安心です。

ConoHa WINGは、全プランで過去14日分の自動バックアップを無料で取っています（公式サイトで確認）。WordPressのバックアップ用プラグインを使っている人は、更新の直前に手動で1回取っておくと戻すのが簡単です。

更新の後に表示を確かめる

更新したら、次の3か所を開きます。

トップページと記事ページ
問い合わせフォーム
アフィリエイトのリンクやボタンの部品

表示が崩れていたら、プラグインの更新を先に試します。本体だけ新しく、プラグインが古いままだと相性の問題が出ることがあります。

攻撃の痕跡を確かめる方法

更新前に攻撃を受けていないかは、サーバーのアクセスログで調べられます。ログに怪しい行があっても、乗っ取りが成功したとは限りません。攻撃を試された跡のほうが多いからです。

アクセスログの場所は次のとおりです。

ConoHa WING：「WING」→「サイト管理」→「アクセス解析」→「ログ」
エックスサーバー：サーバーの中の「ドメイン名」フォルダの下にある「log」フォルダ

ログの中で探す文字は、次の3つです。

「pagename」と「%2e%2e」が同じ行にあるもの
「pearcmd」を含むもの
「config-create」を含むもの

ChatGPTやClaudeにログを読ませるとき

ログは英数字の羅列なので、AIに貼り付けて「怪しいアクセスがあるか」を聞くと早く済みます。貼る前に、ドメイン名とサーバーのユーザー名は伏せ字にしてください。読者のIPアドレスが並ぶので、貼る量は怪しい行の前後だけに絞ります。

痕跡が見つかったら

怪しい行が見つかり、さらに見覚えのないPHPファイルが「wp-content/uploads」フォルダにあれば、乗っ取られている可能性があります。この段階は自分だけで判断しないでください。

サーバー会社の問い合わせ窓口に相談する
WordPressとデータベースのパスワードを変える
必要なら、攻撃前の日付のバックアップから戻す

よくある質問

Q. 有名なテーマを使っているので関係ありませんか？

悪用の条件はテーマの中のフォルダの名前で決まり、有名かどうかとは関係ありません。テーマの開発元がお知らせを出している場合もあるので、使っているテーマの公式サイトを確かめます。どのテーマでも、条件の確認より本体の更新を先に済ませるのが早道です。

Q. 無料ブログやnoteで書いている場合は？

この弱点は、自分でサーバーを借りて動かすWordPressの話です。noteやはてなブログなどのサービスで書いている人は、自分で更新する作業はありません。

Q. 6.x系のまま使っています。7.1.2まで上げるべき？

6.9系なら6.9.9、6.8系なら6.8.10にすれば、今回の弱点は直ります。ただし古い系列は、新しい機能の追加が止まっています。7.1系へ上げる場合は、PHPのバージョンも合わせて確かめてください。

Q. 更新したのに「更新があります」と出続けます

プラグインやテーマ、翻訳ファイルの更新が残っている表示の場合があります。「ダッシュボード」→「更新」の画面で、何の更新が残っているかを確かめます。本体の「現在のバージョン」が修正版なら、今回の対応は済んでいます。

まとめ

CVE-2026-87902は、ログイン不要で悪用でき、すでに攻撃が始まっている弱点です。副業ブログでやることは次の4つです。

確認：「ダッシュボード」→「更新」で、本体が修正版（7.1系なら7.1.2）以上かを見る
更新：古ければ「今すぐ更新」を押す。ブログを複数持つ人は全部
点検：トップページ・問い合わせフォーム・リンクの部品が表示されるかを開いて見る
痕跡：心配ならアクセスログで「pagename」「%2e%2e」「pearcmd」を探す

エックスサーバーでは、サーバー会社による更新とプラグインの緩和策が入っています。ConoHa WINGは、WordPressの自動更新に任せる案内です。どちらのサーバーでも、管理画面の数字を自分の目で確かめるところまでが利用者の作業です。

※本記事は情報提供を目的としたもので、副業・転職による収入や成果を保証するものではありません。料金・仕様は変動するため、利用前に必ず公式サイトでご確認ください。