日頃より当社のサービスをご利用いただき、誠にありがとうございます。WebサイトやWebシステムを安全に運用するためには、プラットフォームやサーバーソフトウェアの最新脆弱性情報を把握し、迅速に対策を講じることが不可欠です。今号では、2026年9月に発表されたWeb関連の重大な脆弱性情報の中から、特に多くの企業・組織に影響を与える可能性があるトピックをピックアップしてご紹介します。

1. 【緊急】WordPressコア（本体）における重大な脆弱性（CVE-2026-87902）

Webサイト構築システムとして世界中で広く利用されているWordPressにおいて、非常に深刻度の高い脆弱性が報告されました。

対象システム： WordPress 4.7.0 ～ 7.1.1（過去約9年分のバージョンが対象）
深刻度： CVSS v4.0 スコア 9.2（緊急 / Critical）

影響・危険性

1. 認証不要（ログイン不要）かつ遠隔から攻撃が可能です。
2. ページのテンプレート処理におけるパス・トラバーサルの不具合を突かれ、特定の条件（特定のテーマやサーバー設定など）が重なると、Webサーバー上で悪意のあるコードを実行（RCE）されるリスクがあります。
3. 修正用セキュリティリリースの公開直後から、無差別の攻撃スキャンや悪用試行が急増していることが確認されています。

推奨される対策

既に修正版である WordPress 7.1.2（旧バージョンの場合は各系列のセキュリティ修正版）が提供されています。管理画面（ダッシュボード）から現在のバージョンを確認し、速やかにアップデートを実施してください。

2. Microsoft 関連インフラ・サーバー製品のセキュリティ更新（2026年9月月例）

Microsoft社から2026年9月にリリースされたセキュリティ更新プログラムにおいて、Webサーバーや社内インフラに関連する複数の脆弱性が修正されました。

主な影響対象

Microsoft SharePoint Server / Exchange Server
.NET / ASP.NET Core（Webアプリケーション開発フレームワーク）
Microsoft SQL Server

影響・危険性

リモートからのコード実行、特権の昇格、サービス拒否（DoS）などの脆弱性が含まれます。Webアプリケーションのバックエンドとして動作しているサーバー環境において、不正アクセスやデータ漏洩のリスクを生じさせる可能性があります。

推奨される対策

Windows Serverおよび対象となる各種ミドルウェアに対し、最新のWindows Update／セキュリティ更新プログラムを早期に適用してください。

3. Webコンテンツ管理システム（CMS）・ECプラットフォームにおける注意事項

WordPress以外の主要なCMSやEC構築プラットフォームにおいても、アクセス制御や入力検証に起因するセキュリティ修正が行われています。

Movable Type： 複数の脆弱性（JVN#91153973）が報告・対処されています。
Adobe Commerce / Magento： 権限バイパスや認証に関する欠陥が報告されており、CISA（米国土安全保障省シスコ・セキュリティ庁）の悪用確認リスト（KEV）にも追加されています。

推奨される対策

ご利用中のCMSプラグイン、サードパーティ製モジュールを含め、ベンダーから提供される公式パッチを速やかに適用してください。

今月実施すべきセキュリティ対策チェックリスト

Webサイトおよびサーバー環境の安全を確保するため、以下のステップで点検・対応を実施することをおすすめします。

システムのバージョン確認

WordPressをはじめとするCMS、Webサーバー（Apache/Nginx等）、プログラミング言語（PHP, .NET等）のバージョンが最新化されているか確認する。

バックアップの取得と更新実行

万が一のアップデート障害に備えて事前にデータおよびファイルのバックアップを取得した上で、セキュリティパッチを適用する。

アクセスログの監視・確認

不正なパラメータ（例：../ や異常なスクリプト呼出）が含まれる不審なアクセスログがないか確認する。

お問い合わせ・サポートのご案内

「自社サイトのWordPressやサーバー環境が安全か不安」「更新作業の代行を依頼したい」といったご要望がございましたら、お気軽に弊社担当までお問い合わせください。