本日はWebサイトの土台（WordPress）の重大脆弱性と、身近なサービスへの不正アクセス・ランサムウェア被害を取り上げます。特にWordPressコアの脆弱性CVE-2026-87902は、公開からわずか数時間で実際の攻撃が始まっており、自社サイトをWordPressで運用している中小企業は本日中にバージョンを確認してください。郵便局アプリ・佐川急便のインシデントは、取引や日常業務で使うサービス側の被害であり、自社の情報が巻き込まれていないかの確認が必要です。
NEWS 01
WordPress公表／eSecurity Planet・TechRepublic・SOC Prime ほか（各社報道）｜ 2026年9月22日公表
WordPressコアに認証不要でRCEに至る重大脆弱性（CVE-2026-87902、CVSS 9.2）――特定条件下で任意のPHPファイルを実行、公開から5時間以内に悪用を確認
WordPressの開発チームは2026年9月22日、WordPress本体（コア）に深刻な脆弱性CVE-2026-87902（CVSS 9.2、重大）が存在するとして、修正版「WordPress 7.1.2」を公開しました。特定の条件がそろうと、認証を受けていない攻撃者が遠隔から任意のPHPファイルを実行（RCE）できる脆弱性です。技術的には、テンプレート解決処理（get_page_template()）を細工して、有効なテーマの外にある読み取り可能なPHPファイルを読み込ませる点に問題があります。
悪用には主に2つの条件が必要とされています。ひとつは、有効な親テーマまたは子テーマに「page-」で始まるトップレベルのディレクトリ（page-templates など）が存在すること。もうひとつは、サーバ上に読み込み可能で悪用に使えるローカルPHPファイルが存在することです。影響を受けるのはWordPress 4.7.0から7.1.1までで、修正版として7.1.2のほか、旧系統向けに7.0.6、6.9.9、6.8.10が提供されています。報道によれば、修正版の公開からおよそ5時間後の9月22日には探索行為が観測され、翌9月23日には任意のPHPファイル書き込みやWebシェル設置を狙う攻撃試行が確認されています。
▌中小企業への影響
WordPressは、中小企業の自社サイト・採用ページ・オウンドメディアで最も広く使われているCMSです。悪用には条件があるとはいえ、プラグインやテーマの構成次第で条件を満たしているサイトは少なくありません。認証不要でPHPが実行されれば、サイトの改ざん、不正プログラムの設置、サイト来訪者へのマルウェア配布、個人情報の窃取につながります。すでに公開直後から実際の攻撃が始まっているため、「アクセスが少ないサイトだから後回し」という判断は危険です。
▌推奨対応
- 自社サイトがWordPressで動いているか、動いている場合は管理画面でバージョン（7.1.2／7.0.6／6.9.9／6.8.10 未満かどうか）を確認する
- 影響バージョンに該当する場合、該当系統の修正版へただちに更新する。自動更新が有効かもあわせて確認する
- 更新前に、有効なテーマに「page-」で始まるディレクトリがあるかを確認し、不要なら構成を見直す
- サイト内に不審なPHPファイル・管理者アカウントの不正追加・改ざんがないか点検する
- 制作・保守を外部ベンダーに委託している場合、更新の実施時期と作業の責任分担を今日中に確認する
NEWS 02
日本郵政・日本郵便公表／ScanNetSecurity ほか｜ 2026年9月29日公表
郵便局アプリに不正アクセス、ゆうID・郵便局アプリ関連の顧客情報が不正に取得――緊急メンテナンスを実施し調査中
日本郵政と日本郵便は2026年9月29日、スマートフォン向け「郵便局アプリ」および共通ID基盤「ゆうID」に外部から不正アクセスがあり、顧客情報が不正に取得されたと公表しました。報道によると、不正アクセスは9月25日午後10時30分頃に把握され、同社は同時刻にゆうIDと郵便局アプリの緊急メンテナンスを実施したうえで、原因と影響範囲の調査を進めています。
現時点で公表されている情報では、不正に取得された情報は「ゆうIDおよび郵便局アプリに関連する顧客情報」とされていますが、対象となった人数や情報項目の詳細な内訳は本記事執筆時点で明らかにされていません。原因についても「外部からの不正アクセス」とされるにとどまり、侵入経路の詳細は公表されていません。続報と公式発表の確認が必要です。
▌中小企業への影響
郵便局アプリ・ゆうIDは、個人だけでなく事業者も日常的に利用するサービスです。共通IDへの不正アクセスは、同じID・パスワードを他サービスで使い回している場合に被害が連鎖する「パスワードリスト型攻撃」の温床になります。自社の従業員が業務で郵便局アプリ・ゆうIDを使っている場合、同じ認証情報を社内システムや他の外部サービスでも使っていないかを確認する契機にしてください。
▌推奨対応
- 業務で郵便局アプリ・ゆうIDを使っている場合、パスワードを変更し、他サービスと使い回していないか確認する
- 多要素認証（二段階認証）が設定できるサービスは有効にする
- 「不正アクセスのお詫び」等を装ったフィッシングメール・SMSが増える可能性があるため、従業員に注意喚起する
- 公式サイトの続報を確認し、自社が対象に含まれるかを継続して追う
NEWS 03
佐川急便公表／INTERNET Watch ほか｜ 2026年10月1日公表
佐川急便の荷物問合せサービスに不正アクセス、過去約100日分の送り主・届け先情報などが流出のおそれ――複数のWebサービスを停止
佐川急便は2026年10月1日、インターネットで荷物の配送状況を照会する「インターネット貨物問い合わせサービス」などに不正アクセスがあり、顧客情報が外部に流出した可能性があると公表しました。不正アクセスは9月30日に発見されたとしています。流出した可能性があるのは、過去およそ100日分の荷物の送り主・届け先情報（氏名・住所・電話番号）、運賃契約を結ぶ法人・個人の情報（法人名または氏名・住所・電話番号）、および会員サービス「スマートクラブ」登録者の情報（氏名・住所・電話番号・メールアドレス・会員ID）です。
一方で、クレジットカード情報やパスワードは含まれていないとしています。件数などの詳細は調査中です。同社は対応として、インターネット貨物問い合わせサービス、配達予定変更機能、「回収くん」など複数のWebサービスを停止しています。集荷・配達といった物流業務自体は通常どおり行われているとしています。
▌中小企業への影響
佐川急便を配送に利用している中小企業は多く、運賃契約法人として自社の情報が対象に含まれる可能性があります。送り主・届け先情報には取引先や顧客の氏名・住所・電話番号が含まれるため、これらを狙った「配送業者をかたる不在通知」型のフィッシングや、取引先を装った詐欺が増える恐れがあります。クレジットカード情報が含まれない点は不幸中の幸いですが、氏名・住所・電話番号だけでも悪用は可能です。
▌推奨対応
- 佐川急便と運賃契約を結んでいる、またはスマートクラブに登録している場合、公式発表で自社が対象かを確認する
- 取引先や顧客あてに、配送業者をかたる不審なSMS・メールへの注意を周知する
- 自社に届く「不在通知」「再配達依頼」等のSMS・メールのリンクを安易に開かないよう従業員に徹底する
- 停止中のWebサービスの復旧状況と、佐川急便の続報を確認する
NEWS 04
佐賀大学公表／ScanNetSecurity ほか｜ 2026年9月28日公表
佐賀大学がランサムウェア被害、事務部門のNAS内ファイルが暗号化――端末を一時停止し約4日で通常業務に復旧
佐賀大学は2026年9月28日、学内の事務部門が利用するNAS（ネットワーク接続型ストレージ）がランサムウェアの攻撃を受け、保存されていたファイルが暗号化される被害が発生したと公表しました。被害は9月24日午前8時42分に確認され、同大学のCSIRT（インシデント対応チーム）が初動対応を開始。同日午後4時45分に事務用端末を停止し、警察に相談しながら復旧作業を進めました。
その後、9月27日午前11時3分に端末の利用を再開し、9月28日から通常業務を再開しています。報道によれば、暗号化されたのは事務情報システムのNASに限定されており、教育・研究・診療システムへの影響は確認されていないとしています。
▌中小企業への影響
NASは、中小企業がファイル共有・バックアップ用に導入している代表的な機器です。インターネットに接続したNASや、認証が甘いNASはランサムウェアの格好の標的になります。今回は事務部門に被害が限定され、約4日で業務を再開できていますが、これは速やかな端末停止と復旧体制があったためです。暗号化で業務ファイルを失えば、中小企業では事業停止に直結します。NASの公開範囲とバックアップ体制の見直しが欠かせません。
▌推奨対応
- 社内のNASがインターネットから直接アクセスできる状態になっていないか確認し、不要なら遮断する
- NASの管理画面の初期パスワード・使い回しパスワードを見直し、ファームウェアを最新に更新する
- 重要データのバックアップをNASとは別の場所（オフライン・クラウド）にも保持する「3-2-1ルール」を徹底する
- 被害発生時に「どの端末を止め、誰に連絡するか」を事前に決め、復旧手順を文書化しておく
編集部まとめ
今号で最優先はWordPressコアの脆弱性（CVE-2026-87902）です。公開直後から悪用が始まっており、自社サイトをWordPressで運用しているなら本日中にバージョンを確認し、該当すればただちに更新してください。郵便局アプリ・佐川急便の不正アクセスは、自社や取引先の情報が巻き込まれていないかの確認と、便乗フィッシングへの注意喚起を。佐賀大学のランサムウェア被害は、NASの公開範囲とバックアップ体制を見直す機会にしてください。過去のニュースは記事一覧にまとめています。
参考情報
- 「WordPress Flaw Under Active Attack: Hackers Target CVE-2026-87902 for Code Execution」TechRepublic
- 「Attackers Exploit Critical WordPress Core RCE Flaw Hours After Disclosure」eSecurity Planet
- 「CVE-2026-87902: Critical WordPress Core Flaw Enables Unauthenticated RCE Under Certain Conditions」SOC Prime
- 「『郵便局アプリ』に不正アクセス、顧客情報を不正に取得」ScanNetSecurity（2026年10月2日）
- 「佐川急便、インターネット貨物問い合わせサービスなどに不正アクセス」INTERNET Watch（2026年10月）
- 「佐賀大学のNASにランサムウェア攻撃、ファイルが暗号化される被害」ScanNetSecurity（2026年9月30日）
