いずもネット

2026.7.27

WordPressの脆弱性についての注意喚起

平素より弊社のインターネットプロバイダサービス「いずもネット」をご利用いただき、誠にありがとうございます。

WordPressに関する注意喚起が現在までのところ複数発表されております。


■IPA 独立行政法人 情報処理推進機構
2026-07-22
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)

■WordPress.org
2026-07-17
（英文サイト）WordPress 7.0.2 Release


●概要
CMSツール「WordPress」において、セキュリティ上の深刻な脆弱性（CVE-2026-63030、CVE-2026-60137、通称：「wp2shell」）が明らかとなりました。
今回報告された脆弱性は、認証なしでのリモートからの任意のコード実行（RCE）や、データベースおよびサーバー内の情報の窃取、Webサイトの改ざん、悪性スクリプトの設置などにつながるおそれがあります。

●対策
開発元が提供する情報をもとに、ご利用中のバージョンに対応する修正済みの最新バージョンへアップデートを行ってください。
　・WordPress 7.0系 / 7.1系
　　・WordPress 7.1 Beta 2 以上
　　・WordPress 7.0.2 以上
　・WordPress 6.9系
　　・WordPress 6.9.5 以上
　・WordPress 6.8系
　　・WordPress 6.8.6 以上
　　※WordPress 6.8系は攻撃チェーン「wp2shell」による未認証での任意コード実行の対象外ですが、SQLインジェクションの脆弱性を修正するため、6.8.6以上への更新が推奨されています。
　　※アップデートが直ちに行えない場合の緩和策として、WAF（Webアプリケーションファイアウォール）等でバッチエンドポイント（/batch/v1）への未認証アクセスを遮断する、またはプラグインで未認証アクセスを禁止する対応をご検討ください。

●脆弱性の影響を受けるバージョン
　CMSツール WordPress
　・WordPress 7.1 Beta 1 以下のバージョン
　・WordPress 7.0.0 から 7.0.1 までのバージョン
　・WordPress 6.9.0 から 6.9.4 までのバージョン
　・WordPress 6.8.0 から 6.8.5 までのバージョン

●想定される影響
本脆弱性が悪用された場合、管理者の認証情報等を持たない第三者（未認証のユーザー）によって、外部からリモートで任意のコードを実行されるおそれがあります。
また、それに伴いWordPressのデータベースやサーバー内の情報の窃取、Webサイトの改ざん、悪性スクリプトの設置など、深刻な被害につながるおそれがあります。


上記以外にもプラグインについての注意喚起も複数発表されております。
脆弱性を含むバージョンでのご利用によるサイトの改ざんや不正アクセス被害が相次いでいます。
WordPressをご利用のお客様は、脆弱性の対策済みバージョンへのアップデートを実施して頂きますようお願い申し上げます。