WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)

注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。

概要

WordPress では、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）及びCVE-2026-63030（GHSA-ff9f-jf42-662q）の脆弱性が修正されました。

WordPress 6.9 以降では、これら 2 件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があります。

影響を受けるウェブサイトでは、直ちに更新することが推奨されています。
また、WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。

これらの 2 つの脆弱性を組み合わせは「wp2shell」と呼ばれ、標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されています。

 これらの脆弱性は、2026年7月21日（現地時間）、CISA 脚注1 の KEV カタログ(Known Exploited Vulnerabilities Catalog 脚注2) にも、悪用された脆弱性として掲載されました。 脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります。
自動更新によってバージョンアップされているかどうかを確認し、バージョンアップされていない場合には手動でのバージョンアップを検討してください。

影響を受けるシステム

• WordPress 6.9.0 - 6.9.4
• WordPress 7.0.0 - 7.0.1

なお、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）は、WordPress 6.8.0 - 6.8.5 も影響を受けます。
また、WordPress 6.8 より前のバージョンは、これらの脆弱性の影響を受けないとされています。

対策

1.脆弱性の解消 - 修正プログラムの適用

• WordPress 6.9.5
• WordPress 7.0.2

また、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）については、修正バージョンとして WordPress 6.8.6 も公表されています。

WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。
しかしながら、WordPress を運用している環境・構成や設定状況によっては、自動更新が有効ではなかったり、更新に失敗している可能性も考えられます。
WordPress の管理画面（ダッシュボード）からバージョンアップされているかどうかを確認し、バージョンアップされていない場合には、手動でのバージョンアップを検討してください。

脚注

1. 脚注1
   米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA: Cybersecurity and Infrastructure Security Agency)
2. 脚注2
   Known Exploited Vulnerabilities Catalog