2026年7月17日、WordPress本体（コア）の重大な脆弱性を修正する緊急セキュリティアップデートが公開されました。
今回修正されたのは、次の2件の脆弱性です。
▼ CVE-2026-60137：WP_QueryのSQLインジェクション
WP_Queryは、WordPressの投稿や固定ページなどのデータをデータベースから取得するために使用される、WordPress本体の主要な機能です。
CVE-2026-60137は、このWP_Queryの処理において、外部から渡された値を利用して不正なSQL文を実行できる可能性がある脆弱性です。
SQLインジェクションが成立すると、データベース内の情報の取得や変更などに悪用される可能性があります。
▼ CVE-2026-63030：REST APIバッチエンドポイントのルート混同
WordPress 6.9以降には、複数のREST APIリクエストをまとめて処理するバッチ機能が追加されています。
CVE-2026-63030は、このバッチ処理におけるアクセス権限の判定に問題があり、本来は認証が必要な処理へ、ログインしていない利用者が到達できる可能性がある脆弱性です。
この脆弱性をCVE-2026-60137と組み合わせることで、標準構成のWordPressに対して、ログイン不要でリモートコード実行に至る攻撃経路が成立します。
この2つの脆弱性を組み合わせた攻撃手法が、「wp2shell」です。
WordPressにログインしていない第三者が、外部からサイトを不正に操作できる可能性があり、最終的には、管理者アカウントの作成や不正なプログラムの設置など、サイト全体の乗っ取りにつながるおそれがあります。
WordPress公式は同日、修正版となるWordPress 7.0.2、6.9.5、6.8.6を公開しました。WordPress 6.9系と7.0系は両方の脆弱性、WordPress 6.8系はCVE-2026-60137の影響を受けると案内されています。
本記事では、wp2shellの何が特別なのか、なぜ既存のセキュリティ対策だけでは不十分なのか、どのバージョンへ更新すべきなのか、アップデート時の注意点について解説します。
目次
wp2shellはなぜ「重大な脆弱性」なのか
テーマやプラグインではなく、WordPress本体の問題
まず押さえていただきたい最大のポイントは、今回の脆弱性はプラグインやテーマではなく、WordPress本体（コア）そのものに存在するという点です。
これは、対象バージョンのWordPressを使っていれば、どんなテーマ・プラグイン構成であっても、脆弱性の影響を受ける可能性があることを意味します。そのため対象となるサイトがかなり広範囲に及ぶことが特徴です。
本体のバグ単体で攻撃が成立する
日々発生しているWordPressへの攻撃の大半は、実はWordPress本体ではなく、テーマやプラグインの脆弱性を狙ったものです。
本体のコードは世界中でレビューされ続けているため、本体のバグ「単体」で、しかも未認証で攻撃が成立してしまう事例は、ほとんど起こりません。
過去にも、WordPress本体に関する脆弱性が報告されたこともありますが、今回のように、「本体単体」「未認証で実行可能」「リモートコード実行可能（RCE）」の3つを同時に満たすケースは、非常にまれといえます。
★過去の脆弱性の事例
▼ 2017年2月：REST API コンテンツインジェクション（CVE-2017-1001000）
ログインしていない攻撃者がREST APIを悪用して、任意の投稿や固定ページを書き換えることができる脆弱性です。未認証・WordPress本体という点は共通であり、大規模な改ざん被害が出ましたが、あくまで「投稿の改ざん」であり、サーバー上でのPHPコードの実行までは至りませんでした。
▼ 2019年2月：crop-image を悪用したRCE（CVE-2019-8942／8943）
画像のメタデータ処理やパストラバーサルなどを組み合わせ、PHPファイルを作成してコード実行に至る可能性のある脆弱性です。しかし、投稿者（author）以上のログイン権限が必要であったことから、ログイン不要・標準構成で攻撃可能な今回の脆弱性とは大きく異なります。
WAFやセキュリティプラグインだけでは十分ではない
今回の問題はWordPress本体のREST APIやデータベース処理を悪用するものであることから、「サーバーのWAFを有効にしているから大丈夫」、「セキュリティWordfenceやAll In One WP Securityを導入しているから大丈夫」と判断するのは危険です。
理由は次のとおりです。
- 一般的なセキュリティプラグインの多くは、マルウェア検知・ログイン試行のブロック・プラグインやテーマの脆弱性の警告が中心で、本体の正規エンドポイント（バッチAPI）を経由する今回のような攻撃を標準で防げるとは限りません。
- WAFは、不正な通信パターンを検知してアクセスを遮断します。
しかし、今回の攻撃は、WordPressの正規エンドポイントに対して、形式上は正常なリクエストを送ることで成立してしまいます。
そのため、今回の攻撃に対応した専用ルールがWAF側で提供・適用されていなければ、汎用的なシグネチャだけでは攻撃を検知できない可能性があります。
- さらに、悪用の入口となるバッチエンドポイントはWordPressの正規機能です。安易にブロックするとサイトの正常な動作まで壊してしまうおそれがあり、対処には慎重さが求められます。
WAFやセキュリティプラグインは、多層防御の一つとして引き続き重要です。しかし、今回のwp2shellに対する根本的な対策には、WordPress本体を修正済みバージョンへ更新することが必要となります。
対象バージョンと、更新すべきバージョン
今回対象となるのは、以下のバージョンのWordPressを使用しているサイトです。
| 現在のバージョン | 影響 | 更新先 |
|---|---|---|
| 6.7.x 以前 | 今回の脆弱性の対象外 | 対応は不要 |
| 6.8.0〜6.8.5 | CVE-2026-60137の影響あり | 6.8.6以上へ更新 |
| 6.9.0～6.9.4 | CVE-2026-60137 CVE-2026-63030 両方の脆弱性の影響あり | 6.9.5以上へ更新 |
| 7.0.0～7.0.1 | CVE-2026-60137 CVE-2026-63030 両方の脆弱性の影響あり | 7.0.2以上へ更新 |
CVE-2026-63030 はバージョン6.9で入り込んだため、6.9系・7.0系が対象となります。6.8系はCVE-2026-60137のSQLインジェクション（情報漏えい）側の影響にとどまりますが、こちらも放置は禁物で、6.8.6への更新が必要です。
なお、自動更新を有効にしているサイトには強制的に更新が配信されていますが、「配信された＝適用済み」とは限りません。必ず管理画面でバージョン番号を目視で確認してください。
【重要】あわてて 6.9 → 7.0 にバージョンアップしない
wp2shellは重大な脆弱性であるため「一刻も早く最新版に」と考えたくなりますが、一点注意が必要です。
WordPressの管理画面からWordPresの更新を行うと、自動で最新のバージョン（2026/7/21時点では、7.0.2)にバージョンアップされてしまいます。
ただし、6.9系を利用している場合、7.0系への移行は「メジャーバージョンアップ」にあたることから、何も検証せずにバージョンアップしてしまうと、テーマやプラグインの互換性の問題で、サイトの表示や機能が崩れる可能性があります。
「脆弱性対応（＝同系統内での更新）」と「メジャーバージョンアップ（＝7.0への移行）」は分けて考えることが重要です。まずは現在使用している系列の修正版へ更新して脆弱性を塞ぎ、その後、メジャーバージョンアップを検証することをおすすめします。
■ 6.9系をお使いの場合
まずは同系統内のマイナー更新である 6.9.5 に上げれば、今回の脆弱性への対応は完了します。互換性リスクも最小限です。無理に7.0系へ上げる必要はありません。
■ 6.9系を7.0系へ移行したい場合
今回の脆弱性対応とあわせて、7.0系へのバージョンアップも済ませたい場合は、本番環境でいきなり実行せず、必ず検証環境（ステージング）でテーマ・プラグイン・表示・主要機能の動作を確認してから適用してください。
対応にお困りの場合は、WPPLUSにご相談ください
今回のwp2shellは、
- 対象バージョンなら構成に関係なく対象
- 本体単体・未認証で攻撃が成立する異例の重大脆弱性
- WAFやセキュリティプラグインだけでは防ぎきれない
- 一方で、あわてたバージョンアップはサイトを壊しかねない
という「急いで対応すること」と「あわてて作業しないこと」の両方が求められます。
- 自サイトが対象バージョンかどうかわからない
- すでに攻撃・改ざんを受けていないか調査してほしい
- 検証環境での動作確認を含め、安全にアップデートを進めたい
- 恒久的なセキュリティ体制を見直したい
こうしたご相談は、WordPressのセキュリティを専門とする WPPLUS までお気軽にお問い合わせください。バージョン確認から侵害調査、検証を伴う安全なアップデート作業まで、状況に応じてサポートいたします。
