WordPressで見つかった脆弱性「CVE-2026-63030（通称：wp2shell）」の解説と対応方法について詳しく解説します。
WordPressの脆弱性（wp2shell／CVE-2026-63030）
先日、当サイトが使用しているレンタルサーバー会社より以下のお知らせがありました。
このたび、コンテンツ管理システム「WordPress」のコア機能において、
外部からの攻撃により第三者による任意のコード実行（Webサイトの乗っ取り）を引き起こすおそれのある
重大な脆弱性（CVE-2026-63030、通称「wp2shell」）が公表されました。本脆弱性は、認証やログインを必要とせず、導入しているプラグインやテーマの有無にかかわらず、
該当バージョンのWordPressを利用しているすべての環境が影響を受けます。現時点で、当サービスにおける本脆弱性を悪用した被害は確認しておりませんが、
お客様のWebサイトを安全にご利用いただくための暫定的な対策として
対象サーバーにおいて本脆弱性の攻撃経路となるREST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を
遮断する対応を実施いたしました。ただし、本対応はあくまで被害の発生を抑えるための暫定的な措置であり、根本的な解決には至りません。
恒久的な対策として、お客様ご自身によるWordPress本体のアップデートを何卒よろしくお願いいたします。お客様には大変ご迷惑をおかけいたしますが、安全なサービス提供を最優先とした対応となりますので
何卒ご理解とご協力を賜りますようお願い申し上げます。
———————————————————————-
■公表された脆弱性
CVE-2026-63030（通称：wp2shell）
※連携して悪用されるSQLインジェクションの脆弱性（CVE-2026-60137）を含みます。■影響を受けるWordPressのバージョン
・WordPress 6.9.0 ～ 6.9.4
・WordPress 7.0.0 ～ 7.0.1
・WordPress 6.8.0 ～ 6.8.5（連携するSQLインジェクションの影響対象）■弊社にて実施済みの対策
対象サーバーにおいて、REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断（2026年7月19日 AM6:30頃 実施）■お客様への影響について（重要）
上記の遮断対応に伴い、REST APIのバッチ処理機能（batch v1／/wp-json/batch/v1）が一時的にご利用いただけなくなっております。
通常のWebサイトの表示・閲覧、および管理画面の操作には影響ありませんが、
batch v1のREST APIを利用したプラグイン・テーマ・外部連携・独自開発の機能をご利用の場合、
当該機能が正常に動作しない可能性があります。■お客様へのお願い（重要）
お客様がご利用中のWordPressを、以下の修正版以降へ速やかにアップデートしてください。
・6.9.x をご利用の場合 → 6.9.5 以降
・7.0.x をご利用の場合 → 7.0.2 以降
・6.8.x をご利用の場合 → 6.8.6 以降
※自動更新を有効にされている場合も、実際にアップデートが完了しているか管理画面にてご確認ください。■今後の対応について
恒久的な対策として、お客様のWordPressアップデート状況および攻撃の状況を継続して確認のうえ、
安全が確認でき次第、遮断対応の解除を検討いたします。
状況に変化があった場合は、改めてご案内いたします。
CVE-2024-28000の概要
CVE-2024-28000で報告されている「wp2shell」は以下2つの異なる欠陥（脆弱性）を組み合わせた「攻撃チェーン（連続攻撃）」 です。
① セキュリティチェックのすり抜け（CVE-2026-63030）
WordPressには「REST API」という、外部のアプリやプログラムからWordPressを操作するための通信窓口があります。その中に、複数の命令を一度にまとめて処理する「バッチエンドポイント（/wp-json/batch/v1）」という機能が存在します。
このバッチ機能の内部プログラムに欠陥があり、攻撃者が特殊なリクエストを送ると、本来行われるべき「権限チェック」や「入力値の安全確認」をバイパス（すり抜け）して、内部の別の機能を不正に呼び出せてしまう状態になっていました。これを「ルートコンフュージョン（経路の混乱）」と呼びます。
② データベースの不正操作（CVE-2026-60137）
もう一つは「SQLインジェクション」と呼ばれる欠陥です。WordPressがデータベース（記事やユーザー情報が保存されている場所）から情報を引き出す機能（WP_Query）の一部に、悪意のある入力文字を無害化する処理の抜け漏れがありました。
これにより、不正な命令をデータベースに直接送り込める状態になっていました。
サイトが乗っ取られるメカニズム
攻撃者は、前述した2つの欠陥を次のように組み合わせてサイトを乗っ取ります。
① 攻撃者はまず、誰でもアクセス可能な「バッチエンドポイント (/batch/v1)」に通信を送ります。
② 1つ目の欠陥（CVE-2026-63030）を利用し、WordPressのセキュリティチェック（権限確認など）をすり抜けてシステムの奥深くに侵入します。
③ すり抜けた先で2つ目の欠陥（CVE-2026-60137）を突き、データベースへの不正操作（SQLインジェクション）を発動させます。
④ この一連の流れにより、攻撃者はWordPressに一切ログインすることなく（未認証のまま）、遠隔からサーバー上で好きなプログラムを実行（RCE：リモートコード実行）できてしまいます。
結果として、サイトの書き換え、管理者アカウントの奪取、スパムの踏み台化など、Webサイトが完全にコントロールされる最悪の事態を引き起こします。
エックスサーバーの暫定対策
エックスサーバーがお知らせの中で「/wp-json/batch/v1への通信を遮断した」とありますが、これは上記ステップ1の「攻撃の入り口」をサーバー側で強制的に塞いだ という意味です。これにより、攻撃者は最初の侵入ができなくなり、サイト乗っ取りの被害をひとまず防ぐことができます。しかし、WordPress本体の中には依然として「セキュリティチェックをすり抜けられるバグ」と「データベースを不正操作できるバグ」が残ったままです。
そのため、サーバー側の防御だけに頼るのではなく、WordPress本体を最新版にアップデートして、バグそのものを消し去る根本的な対応が必要です。
関連ページ
コメント