【概要】

WordPress では、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）及びCVE-2026-63030（GHSA-ff9f-jf42-662q）の脆弱性が修正されました。

WordPress 6.9 以降では、これら 2 件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があります。

影響を受けるウェブサイトでは、直ちに更新することが推奨されています。
また、WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。

これらの 2 つの脆弱性を組み合わせは「wp2shell」と呼ばれ、標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されています。

 これらの脆弱性は、2026年7月21日（現地時間）、CISA 脚注1 の KEV カタログ(Known Exploited Vulnerabilities Catalog 脚注2) にも、悪用された脆弱性として掲載されました。 脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります。
自動更新によってバージョンアップされているかどうかを確認し、バージョンアップされていない場合には手動でのバージョンアップを検討してください。

【影響を受けるシステム】

• WordPress 6.9.0 - 6.9.4
• WordPress 7.0.0 - 7.0.1

なお、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）は、WordPress 6.8.0 - 6.8.5 も影響を受けます。
また、WordPress 6.8 より前のバージョンは、これらの脆弱性の影響を受けないとされています。

【対策】

1.脆弱性の解消 - 修正プログラムの適用

• WordPress 6.9.5
• WordPress 7.0.2

また、CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）については、修正バージョンとして WordPress 6.8.6 も公表されています。

WordPress.org は、影響を受けるバージョン向けに自動更新による強制更新を有効化したとしています。
しかしながら、WordPress を運用している環境・構成や設定状況によっては、自動更新が有効ではなかったり、更新に失敗している可能性も考えられます。
WordPress の管理画面（ダッシュボード）からバージョンアップされているかどうかを確認し、バージョンアップされていない場合には、手動でのバージョンアップを検討してください。

【脚注】

1. 脚注1
   米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA: Cybersecurity and Infrastructure Security Agency)
2. 脚注2
   Known Exploited Vulnerabilities Catalog
   
   出典：独立行政法人情報処理推進機構(IPA)