Advantage Wave

2026年7月、WordPressで2件の脆弱性（CVE-2026-60137、CVE-2026-63030）が公開されました。これらを組み合わせた攻撃手法は「wp2shell」と呼ばれ、条件によっては認証不要で遠隔からコードが実行される可能性があります。

この脆弱性の危険性

この脆弱性が悪用されると、攻撃者がWebサーバー上で任意のプログラムを実行できる可能性があります。これにより、Webサイトの改ざんやマルウェアの設置、個人情報の窃取、不正なファイルのアップロード、さらにはサーバー全体の乗っ取りにつながるおそれがあります。

影響を受けるバージョン

• WordPress 6.9.0 ～ 6.9.4
• WordPress 7.0.0 ～ 7.0.1
• ※CVE-2026-60137は WordPress 6.8.0 ～ 6.8.5 も対象

対策方法

脆弱性は以下のバージョンで修正されています。

• WordPress 6.8.6
• WordPress 6.9.5
• WordPress 7.0.2

WordPress.orgでは対象バージョンに対して自動更新を有効化していますが、環境によっては更新が適用されていない場合があります。管理画面の「ダッシュボード」から現在のバージョンを確認し、未更新の場合は速やかに手動アップデートを実施してください。

まとめ

今回の脆弱性は、実際に悪用が確認されており、攻撃コードも公開されています。Webサイトの安全性を維持するためにも、WordPressを最新版へ更新し、テーマやプラグインもあわせて最新の状態に保つことをおすすめします。

弊社ではワードプレスの保守・アップデートからフルリニューアルまで一括で対応可能です！
お気軽に下部よりお問い合わせください！

参考・引用：https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html