独立行政法人情報処理推進機構（IPA）は7月22日、WordPressの脆弱性（CVE-2026-60137、CVE-2026-63030：wp2shell）について発表した。影響を受けるシステムは以下の通り。
WordPress 6.9.0 - 6.9.4
WordPress 7.0.0 - 7.0.1
※CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）は、WordPress 6.8.0 - 6.8.5 も影響を受ける
WordPress では、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）及びCVE-2026-63030（GHSA-ff9f-jf42-662q）の脆弱性を修正しているが、WordPress 6.9 以降では、これら2件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性がある。
これらの2つの脆弱性を組み合わせは「wp2shell」と呼ばれ、標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されている。
影響を受けるウェブサイトでは、直ちに更新することが推奨されており、WordPress.orgでは、影響を受けるバージョン向けに自動更新による強制更新を有効化している。
IPAでは、自動更新によってバージョンアップされているかどうかを確認し、バージョンアップされていない場合には手動でのバージョンアップを検討するよう呼びかけている。
