WordPressのコア機能に、認証不要かつ導入プラグイン・テーマの有無を問わず影響を受ける重大な脆弱性(CVE-2026-63030、通称「wp2shell」)が公表されました。攻撃が成立した場合、サイトの乗っ取りにつながるおそれがあります。
お急ぎの場合は電話でご相談ください050-1724-5119受付時間 9:00-18:00 [ 土・日・祝日除く ]
今すぐ相談する【24時間受付】概要
REST APIのバッチエンドポイント(/wp-json/batch/v1)におけるルート処理の不備が原因です。これ単体でも問題ですが、別のSQLインジェクション脆弱性(CVE-2026-60137、author__not_inパラメータ関連)と組み合わさることで、データベースへの不正操作やリモートからの任意コード実行(RCE)に発展する可能性があります。
影響を受けるバージョン
- WordPress 6.8.0〜6.8.5(連携するSQLインジェクションの影響対象)
- WordPress 6.9.0〜6.9.4
- WordPress 7.0.0〜7.0.1
深刻度
WPScanの評価でCVSS 9.8(Critical)、CISAの評価で7.5(High)。認証不要で攻撃可能なため、優先度高く対応が必要です。
対策(推奨アップデート先)
- 6.8.x をご利用の場合 → 6.8.6以降
- 6.9.x をご利用の場合 → 6.9.5以降
- 7.0.x をご利用の場合 → 7.0.2以降
自動更新が有効な場合でも、実際に更新が完了しているか管理画面でのご確認をおすすめします。
主要レンタルサーバーの対応状況
一部のホスティング事業者では、暫定対応として該当のREST APIエンドポイントへの通信を遮断する措置が取られています。ただしこれは暫定策であり、根本対応にはWordPress本体のアップデートが必要です。
参考情報
- NVD公開日:2026年7月17日
- 情報源:WordPress.org公式リリースアナウンス、GitHubセキュリティアドバイザリ、レンタルサーバー各社の発表
- NVD:CVE-2026-63030 詳細ページ
- GitHubセキュリティアドバイザリ
- WordPress.org公式リリースアナウンス
- エックスサーバーの告知
「自分のサイトのバージョンが対象かどうか分からない」「アップデート作業に不安がある」という方は、無理をせずお気軽に下記よりお問い合わせください。
お急ぎの場合は電話でご相談ください050-1724-5119受付時間 9:00-18:00 [ 土・日・祝日除く ]
今すぐ相談する【24時間受付】