WordPress 本体に「wp2shell」（CVE-2026-63030 / CVE-2026-60137）— プラグインなしでもサイトを乗っ取られる

何が起きたか

7月17日、WordPress は本体の2つの欠陥を直す 7.0.2 を公開しました。REST API の振り分けの欠陥（CVE-2026-63030）と、データベースに不正な命令を混ぜ込める欠陥（CVE-2026-60137）を組み合わせると、ログインなしでサーバー上で好きなプログラムを動かせるとされ、「wp2shell」と呼ばれました。プラグインを入れていない素の WordPress でも成り立つとされています。

公開の翌日には攻撃コードが出回り、悪用の兆候も報告されました。CISA は7月21日に2件とも KEV に追加しています。WordPress は対象サイトに自動更新を強制しました。

影響を受けたのは

• 組み合わせ攻撃: WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1
• データベースの欠陥だけ: 6.8 系
• 修正版: 7.0.2、6.9.5、6.8.6（6.8 より前は対象外）

自社で確認したいこと

• 管理画面で更新されたか確かめ、自動更新が止まっているサイトは手で更新する
• すぐ更新できないときは、WAF で /wp-json/batch/v1 への外からのアクセスを止める
• 制作会社に任せているサイトも、バージョンを一度確認する