GMO Flatt Security株式会社は7月18日、WordPressの深刻度「緊急」脆弱性「wp2shell 」の概要と対応指針について、同社公式ブログで発表した。
WordPressでは7月17日に、「REST APIのバッチルート混同（CVE-2026-63030）」及び「WP_QueryにあるSQLインジェクション（CVE-2026-60137）」の脆弱性を修正したWordPress 6.8.6、6.9.5、および 7.0.2 を公開している。これらの2つの脆弱性の組み合わせは「wp2shell」と呼ばれ、標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されている。
攻撃チェーン「wp2shell」は、AssetnoteおよびSearchlight CyberのAdam Kues氏によって発見され、WordPressへ報告されている。
GMO Flatt Security リサーチチームの追加検証によると、脆弱なバージョンでは標準構成でも、管理者の認証情報等を要さずに、リモートからの任意コード実行が可能であると判断しており、直近発見された脆弱性の中でも、相対的に深刻度が高く、WordPress のアップデートなしでは、WordPress データベースやサーバ内のさまざまな情報の窃取や、ページの改ざん、他悪性スクリプトの設置など、様々な被害が想定しうる状況という。
同記事では、脆弱性の概要と、それらを組み合わせることで成立する未認証RCEの仕組みを概説するとともに、利用者として取るべき対策・緩和策や、想像しうる侵害痕を整理している。
