WordPressのコアに、認証なしでリモートから任意のコードを実行できる深刻な脆弱性「wp2shell」が発見されました。この脆弱性は、2つのCVE（CVE-2026-63030およびCVE-2026-60137）を組み合わせることで成立し、CVSSスコアは9.8と「緊急」に評価されています。
wp2shellの仕組みと影響範囲
Searchlight CyberのAdam Kues氏によって報告され「wp2shell」と名付けられたこの脆弱性は、WordPress 6.9.0～6.9.4および7.0.0～7.0.1に影響します。また、SQLインジェクションの一部（CVE-2026-60137）は6.8.0～6.8.5も影響を受けます。パッチはWordPress 7.0.2でリリースされました。
自動更新の限界
WordPressは通常、セキュリティアップデートを自動適用しますが、管理者が意図的に自動更新を無効にしているサイトや、古いバージョンのまま放置されているサイトが多数存在します。特に、企業サイトがWordPressで構築されていることすら認識されていないケースもあり、そうしたサイトは脆弱性の標的となります。
クラウド型WAFによる防御
Cloudflareは同日夜にWAF機能を有効化し、攻撃トラフィックを遮断する措置をとりました。また、国内ホスティングのエックスサーバーも7月19日からWAFをオンにすると発表しました。ただし、これらのWAFは暫定的な対策であり、根本的にはWordPress本体のアップデートが必要です。
アップデート後の注意点
パッチを適用するだけでなく、既に攻撃を受けた可能性を考慮し、サーバー内に不正なプロセスやファイルが残っていないか確認することが重要です。エックスサーバーも同様のアナウンスを行っています。
管理の重要性
今回の脆弱性は、システム管理者が自社で管理していないWordPressサイトの有無を確認し、適切な体制を整える契機となります。放置されたサイトは攻撃の入り口となり得るため、定期的なチェックとアップデートが不可欠です。
