WordPressの重大な脆弱性(通称「wp2shell」)に関するご報告
平素より格別のご高配を賜り、厚く御礼申し上げます。
WordPress Coreに関する重大な脆弱性が公表されましたので、ご報告申し上げます。
■ 脆弱性の概要
WordPress REST APIのバッチ処理機能における実装不備(CVE-2026-63030)と、投稿取得処理におけるSQLインジェクションの脆弱性(CVE-2026-60137)を組み合わせることで、第三者が認証情報を必要とせずに、サーバー上で任意のプログラムを実行できる可能性があることが確認されております。
本脆弱性が悪用された場合、Webサイトの改ざん(トップページや下層ページが第三者のサイトへ転送されるなど)、サーバー内の情報窃取といった被害が想定されます。
■ 対象バージョンと修正版
| WordPressバージョン | 本脆弱性の影響 | 更新先バージョン |
|---|---|---|
| 6.8.0 ～ 6.8.5 | 一部の脆弱性の影響あり(本チェーンによるRCEは対象外) | 6.8.6以上 |
| 6.9.0 ～ 6.9.4 | 影響あり | 6.9.5以上 |
| 7.0.0 ～ 7.0.2 | 影響あり | 7.0.4以上 |
※6.8未満のバージョンは、本脆弱性チェーンの直接的な影響対象外です。
■ 弊社の対応方針
上記脆弱性の公表を受け、弊社にて管理しております全WordPressサイトを対象に、以下の対応を進めております。
-
対象バージョンの更新
該当バージョンのサイトについて、修正版への更新を順次実施しております。現在対応中でございまして、2026年9月下旬までに全サイトの対応を完了する予定です。
■ お客様へのお願い
弊社にて管理させていただいているサイトにつきましては、上記対応を弊社側で実施いたしますので、お客様側での特別なご対応は不要です。
なお、サイトのトップページや下層ページが見慣れないページへ転送される、身に覚えのないコンテンツが表示される等、何か不審な点にお気づきの際は、お手数ですが速やかに担当窓口までご連絡いただけますと幸いです。
以上、ご報告申し上げます。