ファイルインクルード

CVE-2026-87902 — WordPress本体の認証なしファイルインクルード（条件付きRCE）の解説と対応策

WordPress本体（4.7〜7.1.1）の認証なしローカルファイルインクルード（CWE-98）。テーマとサーバー設定の条件がそろうとRCE。修正は9/22（7.1.2ほか各系列）、CISAは9/25にKEV追加。当サイトの結論＝EPSSは3%でも、KEVに載った時点で最優先。更新に加えて、PHPの register_argc_argv を無効にして『条件の側』も断つ。