◆概要
2026 年 7 月に修正された WordPress の脆弱性を悪用するエクスプロイトコードが公開されています。攻撃者は、脆弱性の悪用により対象ホストへの遠隔コード実行が可能となります。ソフトウェアのアップデートにより対策してください。
◆分析者コメント
プラグインの脆弱性が目立つ WordPress ですが、当該脆弱性は WordPress 本体に存在する遠隔コード実行が可能となるものであるため、「wp2shell」という名称で世界的に注目されています。特別な設定の必要がなく、管理用コンソール認証していない状態で悪用可能な脆弱性であるため、WordPress に対して真っ先に悪用を試行される可能性が高いと考えられます。ソフトウェアの更新による早急な対策が求められます。
◆深刻度(CVSS)
* CVE-2026-60137（WP_Query における SQL Injection の脆弱性）
[CVSS v3.1]
5.9
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?cveId=CVE-2026-60137&vector=CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N&version=3.1&sourceName=WPScan
* CVE-2026-60137（REST API のバッチ処理におけるルートの混同）
[CVSS v3.1]
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?cveId=CVE-2026-63030&vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&sourceName=WPScan
◆影響を受けるソフトウェア
WordPress のバージョン 6.9 以上 6.9.5 未満、7.0 以上 7.0.2 未満が、本記事で取り上げているすべての脆弱性の影響を受けると報告されています。SQL Injection の脆弱性のみ、バージョン 6.8 以上 6.8.6 未満も含めて影響を受けます。
◆解説
WordPress の本体に、遠隔からの任意のコード実行につながる複数の脆弱性が報告されています。
遠隔コード実行の実現には 2 つの脆弱性が用いられます。1 つは WP_Query という内部クラスの author__not_in パラメーターにおける SQL Injection の脆弱性です。脆弱なバージョンの WordPress では、当該パラメーターの検証処理に不備があるため、任意の SQL クエリが挿入可能です。もう 1 つの脆弱性は、複数の REST API 呼び出しを一括で実行するためのバッチ処理に起因する問題です。バッチ処理の実装に不備があるため、REST API 呼び出しの混同を引き起こして、SQL Injection の脆弱性が存在する内部クラス WP_Query の呼び出しが可能となります。攻撃者はこれらの脆弱性を悪用すれば、認証していない状態でも SQL Injection により管理者権限アカウントの作成が可能となるため、悪性プラグインのインストールにより任意のコード実行が可能となります。
◆対策
WordPress のバージョンを 6.9.5 または 7.0.2 以上にアップデートしてください。
◆関連情報
[1] WordPress 公式
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf
[2] WordPress 公式
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q
[3] National Vulnerability Database (NVD)
https://nvd.nist.gov/vuln/detail/CVE-2026-60137
[4] CVE
https://www.cve.org/CVERecord?id=CVE-2026-60137
[5] National Vulnerability Database (NVD)
https://nvd.nist.gov/vuln/detail/CVE-2026-63030
[6] CVE
https://www.cve.org/CVERecord?id=CVE-2026-63030
◆エクスプロイト
以下の Web サイトにて、当該脆弱性の悪用により、脆弱な WordPress への遠隔コード実行を試みるエクスプロイトコードが公開されています。
GitHub - Icex0/wp2shell-poc
https://github.com/Icex0/wp2shell-poc
#--- で始まる行は執筆者によるコメントです。
2026 年 7 月に修正された WordPress の脆弱性を悪用するエクスプロイトコードが公開されています。攻撃者は、脆弱性の悪用により対象ホストへの遠隔コード実行が可能となります。ソフトウェアのアップデートにより対策してください。
◆分析者コメント
プラグインの脆弱性が目立つ WordPress ですが、当該脆弱性は WordPress 本体に存在する遠隔コード実行が可能となるものであるため、「wp2shell」という名称で世界的に注目されています。特別な設定の必要がなく、管理用コンソール認証していない状態で悪用可能な脆弱性であるため、WordPress に対して真っ先に悪用を試行される可能性が高いと考えられます。ソフトウェアの更新による早急な対策が求められます。
◆深刻度(CVSS)
* CVE-2026-60137（WP_Query における SQL Injection の脆弱性）
[CVSS v3.1]
5.9
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?cveId=CVE-2026-60137&vector=CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N&version=3.1&sourceName=WPScan
* CVE-2026-60137（REST API のバッチ処理におけるルートの混同）
[CVSS v3.1]
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?cveId=CVE-2026-63030&vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&sourceName=WPScan
◆影響を受けるソフトウェア
WordPress のバージョン 6.9 以上 6.9.5 未満、7.0 以上 7.0.2 未満が、本記事で取り上げているすべての脆弱性の影響を受けると報告されています。SQL Injection の脆弱性のみ、バージョン 6.8 以上 6.8.6 未満も含めて影響を受けます。
◆解説
WordPress の本体に、遠隔からの任意のコード実行につながる複数の脆弱性が報告されています。
遠隔コード実行の実現には 2 つの脆弱性が用いられます。1 つは WP_Query という内部クラスの author__not_in パラメーターにおける SQL Injection の脆弱性です。脆弱なバージョンの WordPress では、当該パラメーターの検証処理に不備があるため、任意の SQL クエリが挿入可能です。もう 1 つの脆弱性は、複数の REST API 呼び出しを一括で実行するためのバッチ処理に起因する問題です。バッチ処理の実装に不備があるため、REST API 呼び出しの混同を引き起こして、SQL Injection の脆弱性が存在する内部クラス WP_Query の呼び出しが可能となります。攻撃者はこれらの脆弱性を悪用すれば、認証していない状態でも SQL Injection により管理者権限アカウントの作成が可能となるため、悪性プラグインのインストールにより任意のコード実行が可能となります。
◆対策
WordPress のバージョンを 6.9.5 または 7.0.2 以上にアップデートしてください。
◆関連情報
[1] WordPress 公式
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf
[2] WordPress 公式
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q
[3] National Vulnerability Database (NVD)
https://nvd.nist.gov/vuln/detail/CVE-2026-60137
[4] CVE
https://www.cve.org/CVERecord?id=CVE-2026-60137
[5] National Vulnerability Database (NVD)
https://nvd.nist.gov/vuln/detail/CVE-2026-63030
[6] CVE
https://www.cve.org/CVERecord?id=CVE-2026-63030
◆エクスプロイト
以下の Web サイトにて、当該脆弱性の悪用により、脆弱な WordPress への遠隔コード実行を試みるエクスプロイトコードが公開されています。
GitHub - Icex0/wp2shell-poc
https://github.com/Icex0/wp2shell-poc
#--- で始まる行は執筆者によるコメントです。
