WordPressで遠隔コード実行脆弱性（wp2shell）が発見、管理画面からの手動更新と影響範囲の確認を

解説

ウェブサイトで広く使われているCMS「WordPress」において、複数の深刻な脆弱性が修正されました。特に注目すべきは、特定の組み合わせの2つの脆弱性を利用した手法「wp2shell」が指摘されている点です。この手口を利用すると、管理者がログインしなくても外部からコードを実行できてしまう可能性があります。

これらの脆弱性は、既にCISA（米国連邦機関）によって悪用されたものとして公式に公開されています。そのため、単なる情報共有ではなく、喫緊の対応が必要な状況と言えます。自社の環境では、セキュリティ対策が万全かどうか確認しておきたいところです。

ポイント

• WordPressにおいて複数の脆弱性（CVE-2026-60137、CVE-2026-63030）が発見されたため、早急な対応が必要です。
• この組み合わせの脆弱性は「wp2shell」と呼ばれ、管理者権限なしでの遠隔コード実行を可能にする危険性があります。
• 自動更新だけでなく、管理画面から手動で最新バージョンへの更新状況を必ず確認してください。

情シスへの影響

【影響範囲】

• 対象：WordPressを稼働させているすべてのウェブサイト（CMS利用者）

• 深刻度：管理者権限不要での遠隔コード実行リスク（リモートコード実行）。

【具体的な手順と懸念点】

1. 自動更新の確認不足: プラットフォーム側で強制アップデートが実施されていても、利用環境や設定によっては適用されていない可能性がある。

2. バージョン管理の必要性: 影響を受けるバージョン範囲（特にWordPress 6.8.0〜6.8.5）と修正済みバージョン（例：WordPress 6.8.6以上）を明確に把握し、システム全体での適応状況を追跡する必要がある。

3. 即時対応の必要性: 脆弱性が既に悪用事例として報告されており、情報が公開された時点で極めて高い緊急度であるため、計画的ではなく即座のアクションが求められる。

影響範囲

WordPressを利用しているすべてのウェブサイト（環境、クラウド/オンプレ問わず）、全ての関連するWordPressコアファイル、管理画面のバージョンアッププロセス。特定の脆弱性のため、影響を受ける可能性があるのはWordPress 6.8.0〜6.9未満のバージョン群と特定された組み合わせの状態。

重要度

★★★★★

対象者

• M365管理者
• セキュリティ担当者
• Windows管理者
• Linux管理者

優先度

今すぐ対応

優先度の理由

本脆弱性は、管理者権限不要で遠隔コード実行が可能と指摘されており、既に悪用例として公式に報告されている極めて深刻な状態です。影響を受ける環境が広範囲かつ具体的なリスクが高いため、猶予はありません。

確認手順

• 対象のWordPressサイト一覧を作成し、稼働中のすべてのインスタンスを特定する。
• 各インスタンスの管理画面より、現在のWordPressバージョンおよびコアファイルの更新状況を確認する。
• 最新版（例：6.9以降）への手動アップデートが完了しているか、手順通りに実行できているかを検証する。
• ウェブサイト向けのファイアウォールやWAFで、既知の攻撃パターンに基づく防御ルールを設定・適用済みかを確認する。