WordPress 6.8 / 6.9 / 7.0 の重大な脆弱性 wp2shell  について

表題の通り、WordPress のコアバージョン 6.8.0～6.8.5、6.9.0～6.9.4、7.0.0～7.0.1 に重大な脆弱性が発見されましたので WordPress のコアバージョンが脆弱性を含むバージョンである場合にはすぐにアップデートを実行してください。

以下のバージョンよりも新しい、もしくは 6.7 よりも古いバージョン^※であることを確認してください。
※ 6.7 より古いバージョンに今回の脆弱性は含まれませんが、アップデートが行われなくなる可能性もありますので早めに最新バージョンにすることを推奨します。

脆弱性への対応済みバージョン：　6.8.6～ / 6.9.5～ / 7.0.2～

今回発見された脆弱性は2件あり、データベースを自由に操作できる危険性や WordPress の管理者権限不要で様々な操作が可能となるものです。
パスワードの変更や奪取、管理者ユーザの追加、マルウェアの混入などの不正アクセスが容易に実行可能な状態です。この記事をお読みになりましたらすぐにアップデート対応が必要です。

アップデート作業自体は管理画面からボタンクリックで簡単なのでぜひご自身でご対応いただくことをおすすめします。
それが最速です。レイアウトが崩れたらあとから直せば大丈夫です。

WordPress バージョンの確認方法

色々な確認方法がありますが、自分のサイトであれば以下の方法が簡単で確実です。

ダッシュボードの概要に表示されるバージョン情報

一番簡単な方法は、WordPress の管理者画面にログインしてダッシュボードの概要を確認することです。

WordPress を使用していれば削除していない限り、管理画面に入って最初の画面に「概要」というものが表示され、以下の赤丸で囲った部分でバージョンが確認可能です。

WordPress の about ページ

WordPress のアップデートなどを行うと最初に表示される about ページからも確認が可能です。

管理画面の一番左上にある WordPress のアイコン (W マーク) をクリックすると開けます。
分からなければブラウザのアドレスバーで {WordPress がインストールされている URL}/wp-admin/about.php からもアクセス可能です。

脆弱性の詳細情報

脆弱性	対象バージョン	内容
CVE-2026-60137	6.8.0～6.9.5 6.9.0～6.9.4 7.0.0～7.0.1	WP_Query の author__not_in パラメータのエスケープ不足による SQL インジェクションの危険性
CVE-2026-63030	6.9.0～6.9.4 7.0.0～7.0.1	WP REST API の /batch/v1 エンドポイントで認証を突破できる危険性 (wp2shell)

※ WordPress 6.8 系は、SQL インジェクションの脆弱性のみで wp2shell という脆弱性は含まれません。

これらの脆弱性が組み合わされることにより、未認証のユーザが /batch/v1 エンドポイントを通じて任意の悪意あるコードを実行可能にし、SQL インジェクションと組み合わせてデータベース情報の奪取などが可能になります。

簡単に言えば、攻撃者は、脆弱性が含まれるサイトに対して何でもやりたい放題ということです。

本脆弱性は古い WordPress と対策済みの WordPress のプログラムコードを比較すれば簡単に攻撃方法が判明します。
非常にシンプルな方法であることを私も確認しています。(攻撃方法の概要を紹介しているページもあります)

wp2shell に対応済みかの簡易チェックサイト

発見者の方が簡易チェックサイトを作成してくれています。
良く分からない場合は、以下のサイトよりご自身のサイトをチェックしてみてください。

なお、こちらでは wp2shell という脆弱性に対してのチェックがメインですので、WordPress 6.8 系でも緑枠で問題なさそうに表示されます。
SQL インジェクションの脆弱性は残ったままで他の経路から攻撃される危険性もありますので 6.8.6 以降へのアップデートを行ってください。

XServer では暫定対策済みだが、アップデートは必須

XServer では、非常に早く連休中にもかかわらず、暫定対策が織り込まれています。(/batch/v1 へのアクセスを遮断)

■公表された脆弱性
　CVE-2026-63030（通称：wp2shell）
　※連携して悪用されるSQLインジェクションの脆弱性（CVE-2026-60137）を含みます。

■影響を受けるWordPressのバージョン
　・WordPress 6.9.0 ～ 6.9.4
　・WordPress 7.0.0 ～ 7.0.1
　・WordPress 6.8.0 ～ 6.8.5（連携するSQLインジェクションの影響対象）

■対象サービス
　XServer レンタルサーバー
　XServer Business
　XServer for WordPress

■弊社にて実施済みの対策
　対象サーバーにおいて、REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断（2026年7月19日 AM6:30頃 実施）

■お客様への影響について（重要）
　上記の遮断対応に伴い、REST APIのバッチ処理機能（batch v1／/wp-json/batch/v1）が一時的にご利用いただけなくなっております。
　通常のWebサイトの表示・閲覧、および管理画面の操作には影響ありませんが、
　batch v1のREST APIを利用したプラグイン・テーマ・外部連携・独自開発の機能をご利用の場合、
　当該機能が正常に動作しない可能性があります。

■お客様へのお願い（重要）
　お客様がご利用中のWordPressを、以下の修正版以降へ速やかにアップデートしてください。
　・6.9.x をご利用の場合　→　6.9.5 以降
　・7.0.x をご利用の場合　→　7.0.2 以降
　・6.8.x をご利用の場合　→　6.8.6 以降
　※自動更新を有効にされている場合も、実際にアップデートが完了しているか管理画面にてご確認ください。

■今後の対応について
　恒久的な対策として、お客様のWordPressアップデート状況および攻撃の状況を継続して確認のうえ、
　安全が確認でき次第、遮断対応の解除を検討いたします。
　状況に変化があった場合は、改めてご案内いたします。

https://www.xserver.ne.jp/news_detail.php?view_id=18963

しかしながら、いつまでも REST API のエンドポイントを閉じておくことはできないでしょうからアップデート対応は必須です。
アップデートまでの時間的な猶予を作ってくれているような形ですので、できるだけ早く対応しましょう。制作会社に任せている場合はすぐに対応をお願いしてください。

WordPress の更新通知が表示されない場合

通常であれば以下の画像のように管理画面の各ページの最上部に更新の通知が表示されます。

しかし、一部の制作会社やフリーランスは、WordPress 本体を更新することでレイアウトやデザインが崩れたり、プラグインの機能が動作しなくなったりすることを嫌ってこの重要な通知を非表示にしていることがあります。(更新自体を無効化している状態)

今回の脆弱性の修正版のような重要な更新も操作ができないため、WordPress サイトの作り方としては非常に危険な状態です。

こういった制作手法を取っている制作者ですと、作り方自体も独自の実装が多くなりがちで更新自体が困難なことも多いです。
もし、あなたのサイトがこのような状態だったら制作者ではなく他の信頼できる第三者に調査と対応を依頼することをおすすめします。私でなくてもお近くの専門家にご相談ください。

もちろんオンラインで日本全国どこでも対応可能ですので、私にご相談いただいても大丈夫です。
私にご依頼いただける場合にはとりあえずは応急対応を行い、その後にどのように対応していくかは状況に応じて要相談とさせてください。

---