WordPress Core の深刻な脆弱性 CVE-2026-63030／60137 が FIX：未認証 RCE の恐れ

Critical WordPress Core Flaw Lets Anonymous Hackers Gain Remote Code Execution

2026/07/18 gbhackers — WordPress Core に発見された認証前リモートコード実行 (RCE) の脆弱性は、”wp2shell” と呼ばれる深刻なものだ。この脆弱性の悪用に際して認証は不要であり、プラグインが 1 つもインストールされていない標準の WordPress インストールに対しても影響を及ぼす。世界で 5 億の Web サイトを支えるとされる WordPress の状況を踏まえると、きわめて深刻な問題となる。

重大な WordPress Core の欠陥

この欠陥は、近年の CMS セキュリティ開示の中でも、最も重要なものでもある。この問題は、REST API のバッチ・ルート混同と、SQL Injection の欠陥が組み合わさったことに起因しており、それらが連鎖することで完全な RCE を可能にする。

この脆弱性を特定して報告したのは Assetnote の研究者 Adam Kues であり、すでに CVE-2026-63030 (GHSA-ff9f-jf42-662q) が割り当てられている。

2 つ目の SQL Injection の脆弱性は、TF1T／dtro／haongo により報告され、CVE-2026-60137 (GHSA-fpp7-x2x2-2mjf) が割り当てられた。

これらの脆弱性の悪用において、前提条件も有効な認証情報も不要であるため、匿名の攻撃者による標準状態のサイトへの侵害が可能になる。

サイト所有者に対してパッチを適用する時間を与えるために、Searchlight Cyber は技術的な悪用詳細を非公開にしている。その一方で、wp2shell[.]com で公開スキャナをリリースし、高度な技術知識を必要とせずに、管理者が露出を確認できるようにしている。

影響を受けるバージョン
  • WordPress ≤6.8.5：RCE チェーンの影響は受けない (6.8.x は CVE-2026-60137 のみの影響を受ける)。
  • WordPress 6.9.0–6.9.4：両方の脆弱性の影響を受ける。
  • WordPress 7.0.0–7.0.1：両方の脆弱性の影響を受ける。
  • WordPress 7.1 ベータリリース：影響を受ける。7.1 beta2 で修正済み。
パッチと緩和策

すでに WordPress のセキュリティ・チームは、バージョン 7.0.2 をリリースし、この問題に対処している。また、バックポート・リリースには 6.9.5 と 6.8.6 が含まれる。

RCE の深刻度を踏まえ、WordPress は影響を受けるバージョンを実行しているサイトに対して、強制自動更新を有効化している。ただし、管理者に強く求められるのは、手動での更新の確認である。

サイト所有者は、WordPress Dashboard の Updates → Update Now からの更新もしくは、WordPress.org からのダウンロードを実行すべきだ。

直ちにパッチ適用できない環境に対して、Searchlight Cyber は一時的な緩和策を推奨している。

  • REST API への匿名アクセスを完全にブロックするプラグインをインストールする。
  • WAF レベルで “/wp-json/batch/v1” と “?rest_route=/batch/v1” をブロックする。

ただし、これらの対策により、正規の REST API 機能を妨げられる可能性があるため、完全な更新を適用するまでの緊急の一時対応として扱うべきである。

WordPress の巨大なインストール・ベースを考慮すると、技術的な詳細が公開された以降において、また、パッチ差分からのリバース・エンジニアリングが進んだ時点において、この wp2shell に対する自動的な悪用が引き起こされる恐れがある。

セキュリティ・チームおよびサイト管理者に強く推奨されるのは、直ちにアップデートを実施することだ。その上で、wp2shell[.]com ツールを使用してパッチ状態を確認し、”/wp-json/batch/v1″ を標的とする不審な REST API バッチ・リクエストの有無を、ログで監視すべきである。

WordPress において、通信処理の仕組みとデータ操作に関する処理の問題が組み合わされ、特別なログイン情報がなくても外部から不正にプログラムを動かせてしまう深刻な脆弱性 CVE-2026-63030／CVE-2026-60137 が明らかになりました。この状態のまま運用を続けると、サイト全体を不当に操作されてしまうリスクがあります。被害を防ぐための最も確実な手順は、提供されている修正プログラムを適用することです。ダッシュボードなどから現在の設定やバージョンを点検し、できるだけ早く最新の安全な状態へ手動更新を進める必要があります。よろしければ、WordPress Core での検索結果も、ご参照ください。