WordPress Coreの脆弱性「wp2shell」（CVE-2026-63030、CVE-2026-60137）に関する注意喚起と攻撃遮断くんでの対応について

平素より「攻撃遮断くん」をご利用いただき、誠にありがとうございます。

WordPress Coreにおいて公開された以下の脆弱性について、当サービスをご利用中のお客様へ注意喚起と攻撃遮断くんでの対応についてご案内いたします。

・CVE-2026-63030
・CVE-2026-60137

影響を受ける一部のWordPressバージョンでは、これらの脆弱性を組み合わせて悪用されることにより、認証されていない第三者によるリモートコード実行につながる可能性があります。WordPress 公式のアナウンスでは、影響を受けるバージョンを対象に強制自動更新を有効化するとともに、修正版への速やかなバージョンアップを推奨しています。

 

■影響を受けるWordPressバージョン

以下のバージョンをご利用の場合は、修正版へのアップデートをお願いいたします。

・WordPress 6.8.0 ～ 6.8.5　→ 6.8.6以上へ更新
・WordPress 6.9.0 ～ 6.9.4　→ 6.9.5以上へ更新
・WordPress 7.0.0 ～ 7.0.1　→ 7.0.2以上へ更新
・WordPress 7.1 Beta 1　→ 7.1 Beta 2以上へ更新

※WordPress 6.8系はリモートコード実行の対象ではありませんが、CVE-2026-60137の影響を受けるため、WordPress 6.8.6以上への更新が必要です。

 

■お客様へのお願い

影響を受けるバージョンをご利用のお客様は、修正版へのアップデートを最優先で実施いただきますようお願いいたします。

修正版へのアップデートまでに時間を要する場合は、一時的なリスク低減策として、攻撃遮断くんのカスタマイズルールの適用をご検討ください。

 

■攻撃遮断くんでの対応について

攻撃遮断くんでは、本脆弱性に対する一時的な緩和策として、WordPress REST APIのバッチエンドポイントへのアクセスを制御するカスタマイズルールをご提供しております。

本脆弱性を悪用した攻撃リクエストは、正常なREST APIリクエストとの判別が通信内容のみでは困難です。そのため、攻撃リクエストのみを選択的に遮断するのではなく、対象となるエンドポイントへのアクセス自体を制御する方式となります。ルールを適用した場合、対象エンドポイントを利用する正常な通信についても影響が生じる可能性があります。

本カスタマイズルールは、WordPressを修正版へアップデートいただくまでの間、一時的にリスクを低減することを目的とした緊急的な緩和策です。
本脆弱性を根本的に解消するものではありませんので、カスタマイズルールの適用有無にかかわらず、修正版へのアップデートをお願いいたします。

 

ご不明な点がございましたら、弊社サポート窓口までお問い合わせください。（攻撃遮断くんの管理画面にログインした後、左メニューの「お問い合わせ」からご連絡ください。）