【注意喚起】WordPressの脆弱性について(wp2shell)

1. 概要

Webサイトの作成・管理に使われるソフトウェア「WordPress」に認証不要でWebサイトへ不正アクセスされる脆弱性（wp2shell）が公開されました。
本脆弱性はバージョンアップのみでは対応が不十分なものになります。
管理中のWebサイトでWordPressを利用している場合は、利用中のWordPress本体（WordPress Core）のバージョンと
既に本脆弱性による侵害を受けていないか、適切な確認を完了させたうえで、速やかに最新版にバージョンアップを実施してください。

また、影響を受けるバージョンを利用している場合は、
外部からのアクセス遮断を含む応急措置を検討のうえ、速やかに最新バージョンへ更新してください。

詳細につきましては、下記URLをご確認ください。
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)

2. 影響を受けるWordPressバージョン

WordPress7.0.2より前のバージョン
WordPress6.9.5より前のバージョン
WordPress6.8.6より前のバージョン

3.バージョン確認方法およびバージョンアップ方法

(Step1) 管理サイトのWordPressの管理ページにアクセスし、ログインします。

(Step2) ログイン後、左ペインの「更新」をクリックします。

(Step3) 「現在のバージョン」を確認します。
影響を受けるWordPressバージョンではなかった場合は対応不要です。

影響を受けるWordPressバージョンであった場合は、下記画像のような更新ボタンよりWordPressのバージョンを更新して下さい。

4.既に侵害を受けているかの確認方法

• WordPress開発元が提供している管理ツール「WP-CLI」にて以下のコマンドを実行し、WordPress やプラグイン等が改ざんされていないかの確認。
  1 wp core verify-checksums –include-root
  2 wp plugin verify-checksums –all
  
• wp-content/uploads 又は wp-content/plugins 配下に不審なファイルが作成されていないかの確認。
  
• サーバー及び WordPress のアクセスログ、認証ログ等に不審なアクセスがないかの確認。
  
• 特に、本脆弱性が悪用する以下 URL への外部からのアクセスは攻撃の痕跡である可能性が高いため重点的に確認する。
  1 /wp-json/batch/v1 へのアクセス
  2 ?rest_route=/batch/v1 を含むアクセス
  
• その他、不審なジョブやサービスが実行されていないか確認。

5. 侵害されていた場合の対応

侵害されていたことが確認できた場合、HOSEI-CSIRTへご連絡ください。

6. 本件に関する問い合わせ先

本件に関するセキュリティインシデント発生時は、HOSEI-CSIRTへご連絡ください。