WordPress本体に見つかった脆弱性「wp2shell」
2026年7月、WordPress本体(コア)に「wp2shell」と呼ばれる2件の脆弱性(CVE-2026-63030、CVE-2026-60137)が公表されました。プラグインやテーマではなく本体側の問題であり、WordPressで作られたサイトであれば規模や業種を問わず対象になり得ます。すでに修正版が配布されていますので、この記事では何が起きたのか、そしてサイト運営者が何を確認すればよいのかを書きます。
目次
何が起きたのか
今回の脆弱性は、WordPressのREST APIが持つバッチ処理機能に起因するものです。この欠陥を突かれると、ログインしていない第三者が外部からサーバー上でプログラムを実行できてしまいます。管理画面のパスワードがどれだけ強固でも、その手前を素通りされてしまう点がこの問題の要点です。
脆弱性を発見したのはセキュリティ企業のSearchLight Cyber社で、公表の直後から実証コードが出回り、実際の攻撃も確認されています。WordPressセキュリティ企業のDefiant社(Wordfence)の報告によれば、最初の攻撃の兆候は7月17日23時29分(UTC)に観測され、そのわずか13分後には具体的な攻撃の試行が始まっていたとのことです。
確認されている攻撃の内容
クラウドセキュリティ企業のWiz社やSANS Technology Instituteの研究者の報告では、次のような活動が確認されています。
- 脆弱なWordPressサイトを探す大規模なスキャン
- プラグインのアップロード機能を悪用した、不正なプラグインのインストール
- 「ウェブシェル」と呼ばれる遠隔操作用のプログラムの設置(多くは /wp-content/cache/ ディレクトリ内に、ランダムなファイル名で作成)
- 管理者のユーザー名やメールアドレスの収集
- wp-config.php からデータベース接続情報を取得する試み
- 身に覚えのない管理者アカウントの追加
ウェブシェルが設置されると、修正版に更新した後もサーバーへの侵入経路が残り続けます。更新だけで安心せず、これから書くことの確認まで行うことが大切です。
対象バージョンと修正版
WordPressは修正版として 7.0.2、6.9.5、6.8.6 をリリースしています。自動更新が有効なサイトには修正が強制的に適用されていますが、自動更新を止めているサイトや、古いバージョンのまま運用しているサイトでは、手動での更新が必要です。
なお、Macnicaの研究者が公開している調査では、対象サイト約12万件のうち更新済みは8割程度にとどまっており、未対応のサイトが一定数残っている状況です(2026年7月21日時点)。
サイト運営者が確認すべき4点
1. WordPressのバージョン確認と更新
管理画面の「ダッシュボード」→「更新」から現在のバージョンを確認し、7.0.2、6.9.5、6.8.6 のいずれかになっていなければ更新します。
2. プラグイン一覧の確認
インストールした覚えのないプラグインがないかを確認します。攻撃で使われた不正なプラグインは、一見すると普通のプラグインを装っています。
3. /wp-content/cache/ 内の不審なファイルの確認
報告されている攻撃では、このディレクトリ内にランダムな名前のPHPファイルが作成されていました。7月17日以降に作成された見覚えのないPHPファイルがないか、FTPやサーバーのファイルマネージャーから確認します。
4. 管理者アカウントの確認
「ユーザー」一覧を開き、身に覚えのない管理者権限のアカウントが追加されていないかを確認します。
まとめ
WordPress本体を対象とした認証不要の脆弱性は、ここ数年で例のない規模のものです。一方で、修正版はすでに配布されており、やるべきことは明確です。バージョンの更新と、上に挙げた4点の確認を済ませておけば、現時点で報告されている攻撃には対処できます。
ご自身での確認が難しい場合や、確認の結果不審な点が見つかった場合は、お問い合わせフォームよりご相談ください。