「WordPress」に致命的脆弱性、未認証・条件なしで乗っ取れる ～CVSS 3.1で「9.8」

「WordPress 7.0.2」がリリース

　人気のブログシステム「WordPress」で、未認証でもリモートから任意コードを実行できてしまう致命的な脆弱性が発見された。この攻撃手法は「wp2shell」と呼ばれており、すでに概念実証（PoC）コードも存在する。「WordPress」の開発チームは7月17日付けで修正バージョンをリリースしている。

　「wp2shell」は、以下の2つの脆弱性を組み合わせた攻撃手法。この手法を発見したSearchlight CyberのAdam Kues氏によると、事前に必要な条件は一切なく、プラグインをなにも導入していない状態の「WordPress」サイトでも匿名で悪用できてしまうという。

• CVE-2026-60137：「WP_Query」の「author__not_in」パラメーターが適切にサニタイズされておらず、プラグインやテーマが信頼できない入力をこのパラメーターへ渡した場合にSQLインジェクションが発生しうる。「CVSS 3.1」の基本値は「5.9」（Medium）
• CVE-2026-63030：REST APIのバッチエンドポイントにおけるルート混同の問題。「CVE-2026-60137」を組み合わせることで、SQLインジェクションを経てリモートでコードを実行できてしまう。「CVSS 3.1」の基本値は「9.8」（Critical）

　「wp2shell」が影響するとされる範囲は、「WordPress」の以下のバージョン。

• 6.9.0 - 6.9.4（v6.9.5への更新が必要）
• 7.0.0 - 7.0.1（v7.0.2への更新が必要）

　「WordPress」は世界で5億以上のサイトに用いられており、影響範囲は非常に大きい。Searchlight Cyberは「wp2shell.com」というWebサイトを立ち上げ、脆弱性の影響を受けるかチェックするツールや、対処法を案内している。

　「WordPress.org」チームによると、影響を受けるバージョンの「WordPress」サイトに対し、自動更新機能を通じた強制アップデートを実施している。自動バックグラウンド更新に対応したサイトではアップデートが自動的に始まるが、念のためバージョンが最新になっているか確認した方がよいだろう。

　テーマやプラグインが「WordPress」のアップデートで壊れるのを恐れて自動更新を無効化しているサイト管理者は、一刻も早くアップデートを適用すべきだ。