WordPress Coreの脆弱性「wp2shell」について
WAF 『Scutum』では、WordPress Coreの脆弱性「wp2shell」（CVE-2026-63030、CVE-2026-60137）への対応を完了しております。
【NEW】WordPress Coreの脆弱性「wp2shell」（CVE-2026-63030、CVE-2026-60137）について
WordPress Coreについて、認証を必要とせず任意のコードを実行される可能性のある脆弱性（通称「wp2shell」、CVE-2026-63030、CVE-2026-60137）が新たに確認されています。
本脆弱性は、REST APIのバッチ処理におけるルート判定の不備と、WP_Queryの「author__not_in」パラメータにおけるSQLインジェクションの脆弱性を組み合わせることで、外部の攻撃者が認証なしでSQLインジェクションを実行し、最終的に任意のコードを実行できる可能性があるものです。
影響範囲は脆弱性ごとに異なりますが、修正版としてWordPress 6.8.6、6.9.5および7.0.2が公開されています。影響を受けるユーザは、WordPressのバージョンを確認の上、早急なアップデートが必要です。
Scutum の対応
Scutumでは、2026年7月19日時点で、本脆弱性に対する防御対応を行い、防御できる状態に更新しております。
なお、Scutumをご利用の場合も、恒久的な対策としてWordPress公式情報をご確認の上、修正版へのアップデートをお願いいたします。
WordPress.org 日本語版
参考URL：https://ja.wordpress.org/2026/07/18/wordpress-7-0-2-release/
※今後追加で情報が公開された場合は、再度対応を検討します。
本脆弱性についてIPAからも注意喚起が行われています。
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)【2026/7/22 IPA】
WordPress Coreの脆弱性「wp2shell」による影響について不安をお持ちのWebサイト/Webサーバ管理者の方は、お気軽にScutum推進室までご連絡ください。
株式会社セキュアスカイ・テクノロジー 「Scutum推進室」
お問い合わせフォーム
TEL:03-3525-8045 （営業時間 平日10:00～18：00）
E-mail:info@scutum.jp
▼WAF「Scutum」は、新たな脆弱性や攻撃手法に対し、スピーディーな対応を続けています。
WordPress Coreの脆弱性「wp2shell」（CVE-2026-63030、CVE-2026-60137）について
React Server Componentsの脆弱性
Apache Struts2の脆弱性への対応
Spring Frameworkのリモートコード実行の脆弱性を利用した攻撃（CVE-2022-22965）への対応
Spring Cloud Function の脆弱性を利用した攻撃（CVE-2022-22963）への対応
Apache Log4j の脆弱性を利用した攻撃(CVE-2021-44228)への対応
Apache Tomcat の脆弱性を利用した攻撃(CVE-2020-9484)への対応
PHPのFastCGI Process Managerにおける脆弱性を利用した攻撃（CVE-2019-11043）への対応
Oracle WebLogic Server の脆弱性を利用した攻撃（CVE-2019-2725、CVE-2019-2729）への対応
Scutumは OWASP Top10 2017 の全項目をカバーしています
WordPress の REST APIの脆弱性への対応
PHPMailerの脆弱性（CVE-2016-10033、CVE-2016-10045）への対応
意図しない「index_old.php」設置（2016/11/14注意喚起）による改ざんへの対応
bashの脆弱性(CVE-2014-6271/CVE-2014-7169、通称 ShellShock）への対応
hash DoSの脆弱性（CVE-2011-4885等）への対応
「キャプチャ認証追加機能」「SMS認証追加機能」について