セキュリティ企業Seqriteの研究者が、WordPress本体のREST APIに存在する2つの脆弱性を組み合わせた攻撃手法「WP2Shell」の分析を公表しました。ログインしていない攻撃者でも、最終的にサーバー上でコードを実行できる可能性があるとされています。プラグインやテーマではなく、WordPress本体の問題です。
何が問題なのか
報じられている2件の脆弱性は次の通りです。
- CVE-2026-63030：REST APIのバッチ処理（
/wp-json/batch/v1）で、リクエストを入れ子にするとルートの解決が混乱し、本来は認証が必要な処理に未認証で到達できてしまう問題。これだけではコード実行には至らず、攻撃の入口になります。 - CVE-2026-60137：投稿取得のREST APIで、
author_excludeパラメータの扱いが不十分なためSQLインジェクションが起きる問題。
この2つを連鎖させてデータベースを操作し、管理者アカウントを作成。その後、Webシェルを仕込んだ悪意あるプラグインを導入して、サーバー上でコードを実行する、という多段階の流れです。
影響を受けるバージョンと修正版
- 連鎖全体の影響を受ける：WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1
- SQLインジェクションのみ影響：6.8.0〜6.8.5
- 修正版：6.8.6、6.9.5、7.0.2（またはそれ以降の対応バージョン）
なお、記事ではCVSSスコアや、実際の広範な攻撃が確認されたかどうかは明記されていません。報道では「実証された攻撃手順の分析」であり、広く悪用されていると断定する内容ではない点にも注意が必要です。
侵害の痕跡（確認ポイント）
記事では、次のような痕跡が挙げられています。
wp-content/直下のtemp-write-test-*という一時ファイルwp-content/uploads/2026/10/などにあるwp2shell_で始まるZIPファイルwp-content/upgrade/wp2shell_～やwp-content/plugins/wp2shell_～というディレクトリ- 身に覚えのない管理者アカウント、見覚えのないPHPファイルの追加・変更
- バッチエンドポイントへのPOSTリクエストや、入れ子になった不審なAPIリクエスト（アクセスログ）
正規のプラグイン導入と似た動きになるため、「WP2Shell」というファイル名や、予期しないPHPファイル・管理者追加を手がかりに判断するよう勧められています。
運営者がやるべきこと
- 使っているバージョンを確認し、該当する場合は6.8.6／6.9.5／7.0.2以降へ更新する。
- 更新後も、管理者アカウント一覧と、プラグインフォルダ、最近更新されたPHPファイルを点検する。更新前に仕込まれたWebシェルや不正アカウントは、更新だけでは消えません。
- 可能であれば、認証なしでのREST API利用の制限を一時的に検討する（サイトの機能への影響を確認したうえで）。
- アクセスログでバッチエンドポイントへの不審なアクセスがないか確認する。
基本的な守り方は、WordPressサイトをハッカーから守る方法：完全セキュリティガイド【2025年最新版】も参考にしてください。
出典: GBHackers「Critical WordPress Flaws Allow Attackers to Execute Remote Code Without Authentication」、Cyber Press「Hackers Exploit Critical WordPress Flaws to Execute Remote Code Without Authentication」
