平素は当社サービスをご利用いただき誠にありがとうございます。
2026年7月17日に、WordPress Coreにおける重大なセキュリティ脆弱性
「wp2shell（CVE-2026-60137、CVE-2026-63030）」が公開されましたため、ご案内いたします。
当該脆弱性は、2つの脆弱性を組み合わせることにより、認証不要でリモートからのコード実行（RCE）が可能となる恐れがあります。
該当環境をご利用のお客様におかれましては、速やかなアップデートの実施をご検討くださいますようお願いいたします。
脆弱性の詳細は以下の通りです。
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
■脆弱性の概要
【WordPress Core】
・CVE-2026-63030（REST API Batch Route Confusion）
・CVE-2026-60137（WP_Query author__not_in SQL Injection）
これら2件を組み合わせた攻撃チェーンは「wp2shell」と呼ばれています。
本脆弱性が悪用された場合、認証を行わずにリモートからコードが実行され、Webサイトの改ざん、
Webシェル設置、管理者権限の取得、情報漏えい等につながる可能性があります。
また、公開PoCが存在しており、実際の悪用も確認されています。
■対象サービス
・KAGOYA CLOUD VPS
・KAGOYA FLEX
・KAGOYA DC+
・レンタルサーバー
・マネージド専用サーバー
・共用サーバー Sシリーズ
・専用サーバー 3G
・共用サーバー 3G
・旧専用サーバー
・旧共用サーバー
・スタンダードプラン
・WordPress専用サーバー
※WordPress本体の管理はお客様実施となりますため、最新バージョンへのアップデートをご実施ください。
※旧プランをご利用のお客様は必要に応じて現行プランへの移行をご検討ください
■影響を受ける可能性のあるバージョン
【wp2shell（認証不要RCE）】
・WordPress 6.9.0 ～ 6.9.4
・WordPress 7.0.0 ～ 7.0.1
【SQLインジェクションのみ】
・WordPress 6.8.0 ～ 6.8.5
■対策方法
以下の修正版へのアップデートを実施してください。
・WordPress 6.8.6
・WordPress 6.9.5
・WordPress 7.0.2
【WordPress専用サーバーをご利用のお客様】
・WordPress管理画面より、WordPress本体を最新バージョンへアップデートしてください。
・WordPress 7.0をご利用いただく場合、PHP 7.4以上が必要となります。
・PHP 5.6をご利用中の場合は、コントロールパネルよりPHPバージョンを7.4以上へ変更したうえでWordPressをアップデートしてください。
・PHPバージョン変更後は、ご利用中のテーマおよびプラグインの互換性をご確認ください。
■注意事項
・認証不要で攻撃が可能です。
・公開PoCおよび実際の悪用が確認されています。
・WordPress専用サーバーをご利用のお客様は、WordPressのバージョンだけでなく、PHPバージョンについても併せてご確認ください。
・PHP 5.6などの旧バージョンをご利用の場合、WordPress 7.0へアップデートできない場合があります。
■メーカー情報URL
◆IPA
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html
◆WordPress
WordPress News The latest news about WordPress and the WordPress community
https://wordpress.org/news/
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
本件はお客様管理環境での対応が必要となりますため、
内容をご確認のうえ、対策をご検討くださいますようお願い申し上げます。
