WordPressに緊急対応必須の脆弱性 「wp2shell」とは
WordPressで運営しているサイトが、ログイン情報を一切知らない第三者に乗っ取られる。そんな脆弱性が、WordPress Core自体に見つかりました。
セキュリティ企業GMO Flatt Securityが公表した「wp2shell」と呼ばれる脆弱性チェーンです。CVE番号はCVE-2026-63030とCVE-2026-60137。この2つを組み合わせることで、パスワードもIDも不要な状態でサーバー上に任意のコードを実行できてしまいます。
対象は WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1。多くの企業サイト・ECサイト・オウンドメディアが含まれるバージョン帯です。私たちはこの問題を、単なる技術ニュースではなく「今週中に手を打つべき経営課題」として扱う必要があると考えています。
wp2shellとは何か
wp2shellは1つの脆弱性ではなく、2つの弱点の組み合わせで成立します。
CVE-2026-60137は、投稿一覧などで使われるauthor__not_inというパラメータの処理に不備があり、SQLインジェクションにつながるものです。これ単体でもデータベースへの不正なアクセスを許す可能性があり、実は6.8系のWordPressにも影響します。ただしこの単体の弱点だけでは、リモートコード実行までは届きません。
問題はCVE-2026-63030と組み合わさったときです。WordPressのREST APIには、複数の操作をまとめて1回のリクエストで処理する「バッチエンドポイント」（/wp-json/batch/v1）という仕組みがあります。このバッチ処理の内部で、本来かけるべきチェックが素通りしてしまう「ルート混同」という不具合があり、結果としてログイン認証を経ずにサーバー側でコードが実行できる状態になります。
Flatt Securityの記事では、悪用に直結する具体的な手順やペイロードは意図的に公開されていません。私たちもこの記事で攻撃の再現方法には触れません。「何が起きるか」「どう気づき、どう防ぐか」だけをお伝えします。
出典: GMO Flatt Security「wp2shell」解説記事（https://blog.flatt.tech/entry/wp2shell_wordpress）
WP-AIレスキューの無料診断がwp2shellに対応しました
私たちが運営する「WP-AIレスキュー」の無料URL診断に、今回のwp2shellを含む重大なコア脆弱性のデータベースを組み込みました。診断したサイトのバージョンが対象範囲に該当する場合、他の所見とは別枠で「緊急対応必須」ブロックとしてCVE番号と対処法つきで最優先表示します。
本番反映後、実際に対象バージョンで稼働している既存サイトを診断したところ、想定どおり警報が表示されることを確認しています。バージョン確認を後回しにしがちな方でも、URLを入れるだけで対象かどうかが一目でわかる状態です。
診断は無料で、登録も不要です。「自分のサイトは大丈夫だろうか」と思った時点で、一度確認してみてください。
自分のサイトが対象かどうかの確認方法
まず、今動いているWordPressのバージョンを確認してください。方法はいくつかあります。
管理画面にログインできる場合は、ダッシュボード右下のフッター、または「更新」メニューでバージョン番号が表示されます。ログインが不安な状態であれば、サイトのソースコードを開いてgeneratorタグを探す方法もあります（多くのテーマでは非表示化されていますが、確認できることがあります）。サーバーにSSHでアクセスできるなら、wp core versionコマンドが最も確実です。
該当するのは6.9.0〜6.9.4、7.0.0〜7.0.1。このレンジに入っていれば、認証なしでコードを実行される Pre-Auth RCE（Pre-Authentication Remote Code Execution）の対象です。6.8系は該当しませんが、SQLインジェクション単体の弱点は残っているため、こちらも早めの更新をおすすめします。
今すぐやるべき対処
まず自分のサイトが対象かどうか判断に迷う場合は、WP-AIレスキューの無料URL診断でURLを1行入力するだけで、対象バージョンかどうかを含めてすぐに確認できます。
最優先はアップデートです。 修正版が提供されている場合は、他の作業より先にコアのアップデートを実施してください。プラグインやテーマとの互換性が心配であれば、まずステージング環境で確認してから本番に反映する、という順序で構いません。ただし「確認してから」を理由に、着手そのものを先送りにしないでください。
即座のアップデートが難しい事情がある場合は、WAF（Webアプリケーションファイアウォール）や、ホスティング側のセキュリティ機能で、該当のバッチエンドポイントへのアクセスを一時的に制限できないか確認してください。多くのレンタルサーバーやセキュリティプラグインには、特定のリクエストパスをブロックする機能があります。
アクセスログの点検も並行して行ってください。POST /wp-json/batch/v1宛てのリクエストや、_methodパラメータ・X-HTTP-Method-Overrideヘッダーを伴うアクセスは注意対象です。ただしバッチAPIは複数のサブリクエストをまとめて1つのレスポンスで返す仕組みのため、ログのステータスコードだけを見て「大丈夫だった」と判断するのは危険です。不審なログが見つかった場合は、専門家による調査を挟むことをおすすめします。
まとめ
wp2shellは、ログイン情報を持たない第三者でもサーバー上でコードを実行できてしまう、影響度の大きい脆弱性です。対象は WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1。まずは自サイトのバージョンを確認し、対象であれば他の作業に優先してアップデートを進めてください。すぐに対応できない場合は、WAFでの緩和策とログ監視で時間を稼ぐ選択肢もあります。
判断に迷ったら、WP-AIレスキューの無料診断を使ってみてください。私たちはこの診断エンジンを、事業者が自分で最初の一歩を踏み出せる道具として育てています。
