WWWサーバ代行サービス WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)
WordPressをご利用の皆様へ
WordPressに重大な脆弱性が確認されております。
初期設定では強制的に修正済みのバージョンに自動更新されますが、念の為、ご利用のバージョンをご確認ください。
自動更新がされていない場合は、手動での対応をお願い致します。
概要
WordPress では、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）及びCVE-2026-63030（GHSA-ff9f-jf42-662q）の脆弱性が修正されました。
WordPress 6.9 以降では、これら 2 件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があります。
影響を受けるウェブサイトでは、直ちに更新することが推奨されています。
また、WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。
これらの 2 つの脆弱性を組み合わせは「wp2shell」と呼ばれ、標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されています。
これらの脆弱性は、2026年7月21日（現地時間）、CISA 脚注1 の KEV カタログ(Known Exploited Vulnerabilities Catalog 脚注2) にも、悪用された脆弱性として掲載されました。 脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります。
自動更新によってバージョンアップされているかどうかを確認し、バージョンアップされていない場合には手動でのバージョンアップを検討してください。
影響を受けるシステム
- WordPress 6.9.0 - 6.9.4
- WordPress 7.0.0 - 7.0.1
なお、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）は、WordPress 6.8.0 - 6.8.5 も影響を受けます。
また、WordPress 6.8 より前のバージョンは、これらの脆弱性の影響を受けないとされています。
参考URL
詳細については、以下URLをご参照ください。
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)
WordPressの深刻度「緊急」脆弱性 wp2shell の概要と対応指針
よろしくお願い致します。
