WordPress セキュリティ問題まとめ — コアの認証不要 RCE「wp2shell」と相次ぐ管理者アカウント乗っ取り（2026年7月）
2026年7月、世界中のウェブの相当数が利用する WordPress エコシステムで、近年まれに見る規模のセキュリティ事案が続きました。特に WordPress コアそのもので、アカウントなしにリモートコード実行（RCE）が可能な脆弱性が発見され緊急パッチが配布されたほか、人気プラグインでも管理者アカウントをまるごと奪われる欠陥が相次いで公開されました。要点だけまとめます。
1. wp2shell — WordPress コアの認証不要リモートコード実行
今回の事案の核心です。アカウントを持たない攻撃者がサイトのデータベースに到達し完全に掌握できる脆弱性 2つを組み合わせた攻撃チェーンで、「wp2shell」という名前が付けられました。プラグインが1つもない素のインストール環境も影響を受ける点が特に危険です。
- CVE-2026-63030（Critical）— REST API の batch ルートの混同により権限チェックが無効化され、SQL インジェクションを経てリモートコード実行につながります。（報告: Adam Kues / Assetnote）
- CVE-2026-60137（High）— 本来はログイン済みユーザーしか到達できなかった SQL インジェクションが、上記の欠陥と組み合わさることで認証不要の状態から到達可能になります。
影響を受けるバージョンとパッチ
| WordPress バージョン | 影響 | パッチバージョン |
|---|---|---|
| 6.9 | 両方の脆弱性 | 6.9.5 |
| 7.0 | 両方の脆弱性 | 7.0.2 |
| 6.8 | CVE-2026-60137 のみ | 6.8.6 |
| 7.1 beta | 両方の脆弱性 | 7.1 beta2 |
| 6.8 未満 | 影響なし | — |
パッチは2026年7月17〜18日に配布され、WordPress は強制自動アップデートまで稼働させましたが、公開直後から実際の攻撃が観測されました。Patchstack は1,500以上の IP から 6万5千件以上の攻撃試行を遮断し、ウェブシェルの設置やバックドア管理者アカウントの作成が確認されています。
対応 — ただちに 6.9.5 / 7.0.2 / 6.8.6 以上へアップデートしてください。すぐにパッチを適用できない場合は、WAF で /wp-json/batch/v1 と ?rest_route=/batch/v1 のパスを遮断する暫定措置が推奨されます（一部の正常な機能に影響が出る場合があります）。
2. 相次ぐプラグインの「管理者アカウント乗っ取り」— パスワードリセットの悪用
折しも、複数の人気プラグインで 同じ種類の致命的な欠陥が同時に明らかになりました。パスワードの照会・リセット機能が攻撃者の指定したメールアドレスをそのまま信頼してしまうため、認証不要の攻撃者が管理者アカウントのリセットリンクを横取りしてアカウントを乗っ取る手口です。以下はいずれも CVSS 9.8（最高レベル）です。
- miniOrange OAuth SSO — CVE-2026-57807。38.5.8 以下の全バージョンに影響、認証バイパス（パスワード復旧の悪用）。7月9日公開。
- Kirki (Freeform Page Builder) — CVE-2026-8206。6.0.0〜6.0.6 に影響、6.0.7 で修正。約15万サイトが露出し、実際の攻撃が進行中です。
- Burst Statistics — CVE-2026-8181。認証バイパスによる管理者なりすまし。5月8日公開。
3. 2026年の WordPress 脆弱性事情
個々の事案を超えて、流れそのものが懸念されます。2026年に入り WordPress プラグインの脆弱性は 週あたり250件以上公開されており、そのうち43%は認証なしで悪用可能、23%は公開から30日を過ぎてもパッチが当てられないまま残っています。「コアは安全だからプラグインだけ気をつければよい」という通念が、今回のコア RCE で崩れた点も痛手です。
いま行うべきこと（チェックリスト）
- WordPress コアを ただちに最新のセキュリティバージョンへアップデート（6.9.5 / 7.0.2 / 6.8.6+）
- 利用中のプラグインを全数点検 — 特に miniOrange OAuth SSO・Kirki・Burst Statistics を使用している場合はただちにアップデート
- 管理者アカウント一覧に 身に覚えのないアカウントが追加されていないか確認
- サイトのファイルに見慣れないプラグイン・テーマ・ウェブシェルがないかスキャン
- 自動アップデート・WAF・定期バックアップ体制を再点検
ひとこと
THEVOS が手がける多言語 CMS「VosCMS」は、こうしたエコシステムの問題を継続的に注視し、セキュリティ情報をこのブログの「セキュリティ勧告」カテゴリーとして着実にまとめてお届けしていきます。お使いのプラットフォームが何であれ、まずは今日、アップデートの状態を一度確認されることをお勧めします。
出典: Wordfence, Patchstack, Help Net Security, The Hacker News, BleepingComputer, Orca Security（2026年7月）。
コメント (0)
まだコメントはありません。最初のコメントを残しましょう。