WordPress本体に重大脆弱性、運営元が異例の強制更新 専門家が語る“本当の危険”：影響範囲はほぼ全ユーザー

管理者の設定ミスや弱いパスワードがなくても、サーバを乗っ取られる可能性がある。「WordPress」本体で見つかった重大な脆弱性を受け、WordPress.orgは異例の強制自動更新を開始した。なぜ今回はここまで危険視されているのか。専門家にその理由と今後のリスクを聞いた。

[有限会社オングス,田渕聖人，＠IT]

　Aikido Securityは2026年7月17日（現地時間）、「WordPress」本体で認証不要のリモートコード実行（RCE）につながる重大な脆弱（ぜいじゃく）性「CVE-2026-63030」「CVE-2026-60137」が見つかったと公表した。これらの脆弱性を組み合わせる攻撃チェーンは「wp2shell」と呼ばれている。

　同日、WordPressはこの問題を修正した緊急セキュリティ更新版「7.0.2」を公開した。ログイン認証を必要とせず悪用できる可能性があり、プラグインを追加していない標準的な構成のWebサイトも影響を受ける。深刻度を踏まえ、WordPress.orgは対象のWebサイトへの強制自動更新を有効にした。

WordPressが強制自動更新　対象バージョンと暫定防御策

　同脆弱性は、Searchlight Cyberのアダム・キース氏が報告した。同氏は、Webサイトが影響を受けるかどうかを確認する検査サイト「wp2shell.com」も公開している。

　WordPressによると、脆弱性はREST APIのバッチ処理に存在する不備とSQLインジェクションが組み合わさることで、最終的にRCEに至るというものだ。攻撃には「/wp-json/batch/v1」のREST APIエンドポイントが悪用される。Searchlight Cyberは、WordPressを利用するWebサイトは5億件を超えると推計しており、影響範囲は極めて広い。

　影響を受けるのは、WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1、7.1βだ。修正版は6.9系が6.9.5、7.0系が7.0.2、7.1βは7.1β2となる。6.9.0より前のバージョンは、この脆弱性の影響を受けない。

　今回のセキュリティ更新では、問題とは別にWordPress 6.8系でSQLインジェクションの脆弱性も修正された。6.8系を利用していると6.8.6への更新が必要となる。一方、6.8より前のバージョンは今回公表された2件の脆弱性の影響を受けない。

　利用者が最優先で実施すべき対応は、修正版への更新だ。7.0系は7.0.2に、6.9系は6.9.5に、6.8系は6.8.6に速やかに更新したい。バックグラウンド更新を有効にしているWebサイトには自動適用されるが、更新済みと決めつけず、管理画面で実際のバージョンを確認することが重要だ。

　すぐに更新できない場合は、暫定的な防御策も公開されている。認証されていない利用者によるREST APIへのアクセスを遮断するプラグインを導入する方法や、Web Application Firewall（WAF）で「/wp-json/batch/v1」およびクエリパラメーター「rest_route=/batch/v1」へのアクセスを遮断する方法、REST APIのバッチルートに認証を必須とするmu-pluginを追加する方法などだ。ただし、これらの対策は正規のREST API通信にも影響を及ぼす可能性があるため、修正版を適用するまでの一時的な措置と位置付けられている。

WordPress本体だからこそ危険　AIで攻撃コード作成も加速

　＠IT編集部では、GMO Flatt Securityの米内貴志氏（取締役副社長Co-CTO《最高技術責任者》）に今回の脆弱性の影響や注意すべきポイントを聞いた。

――今回の脆弱性は何が問題なのでしょうか。

米内氏　最大の問題は、管理者の設定ミスや弱いパスワードなどとは関係なく、WordPressの対象バージョンを利用しているだけで誰でも影響を受け得ることです。しかも攻撃に特別な前提条件がなく、外部からサーバを乗っ取られる可能性があります。影響範囲も広く、非常に深刻な脆弱性と考えています。

――WordPress関連の脆弱性は度々公開されていますが、なぜ今回は特に大きな話題になったのでしょうか。

米内氏　WordPressの脆弱性はこれまでも数多く報告されてきましたが、多くはプラグインが対象でした。今回は利用者の多くが影響を受けるWordPress本体の脆弱性であり、認証不要でRCEにつながる点が大きく異なります。

　さらに、公開直後からPoC（概念実証）や攻撃手法が急速に共有されたことも特徴です。AIによって攻撃コードを短時間で作成・検証したとする報告も相次ぎ、攻撃までの時間が大幅に短縮された印象があります。攻撃側がAIを悪用する時代が現実になったことを示す事例と言えるでしょう。

――利用者は何を優先すべきでしょうか。

米内氏　まずはWordPressが安全なバージョンに更新済みかどうかを確認してください。今回はWordPress.orgが自動更新を強制適用したため、多くのWebサイトは更新されています。一方、自動更新を意図的に無効化している環境では、現在も未更新のまま残っている可能性があります。

　すぐに更新できない場合は、攻撃の入り口となるREST APIのエンドポイントへのアクセスをWAFなどで遮断することが有効です。ただし、これはあくまで一時的な緩和策であり、根本的な対策は修正版への更新しかありません。

――企業が注意すべき点はありますか。

米内氏　企業ではWebサイトの運用を制作会社や委託先に任せているケースがあります。そのため、自社で更新状況を把握しにくい場合があります。今回のような事例を踏まえ、脆弱性対応を誰が担うのか、契約上どこまで保証されているのかを改めて確認しておくことが重要です。今後はAIによって攻撃のスピードがさらに速くなることも想定されるため、運用体制そのものを見直す必要があるでしょう。

――ありがとうございました。