WordPressCoreの重大な脆弱性（wp2shell）への対応について

WordPress Coreにおいて、重大な脆弱性（CVE-2026-60137、CVE-2026-63030）が報告されています。これらの脆弱性は悪用されることで、第三者による不正なサイト改ざんやサーバへの侵入につながる可能性があります。

WordPressサイトを運用・公開されている方は、速やかにご確認・ご対応をお願いいたします。
なお、今回の脆弱性の影響を受けないバージョンをご利用の場合でも、セキュリティ確保のため、WordPress本体やプラグイン、テーマを定期的に最新版へ更新していただくようお願いいたします。

影響を受けるバージョン

WordPress 6.9.0 ～ 6.9.4
WordPress 7.0.0 ～ 7.0.1

修正版は以下のバージョンです。

WordPress 6.9.5 以降
WordPress 7.0.2 以降

対応のお願い

WordPressサイトを管理されている方は、以下の対応をお願いいたします。

1. WordPress Coreを最新版へ更新する
2. プラグインおよびテーマを最新版へ更新する
3. WordPress管理画面の「ユーザー一覧」を確認し、不審なユーザーアカウントが作成されていないか確認する。あわせて、データベース（wp_users テーブル等）を直接確認し、管理画面上では表示されていない不審なユーザーアカウントが存在しないか確認する
4. 自動更新設定が有効になっているか確認する
5. 管理者アカウントのパスワードを必要に応じて変更する

重要

管理画面上の確認だけでは十分ではありません。WordPressのデータベース（wp_usersテーブル等）の確認に加え、wp-content/uploads、wp-content/mu-plugins、テーマのfunctions.phpおよび独自プラグインについても確認し、不審なアカウントやファイルを発見した場合は速やかに削除してください。

登録されている全ユーザーの確認

SELECT ID, user_login, user_email
FROM wp_users;
-- wp_users のテーブル名は環境によって異なる場合があります。

管理画面でユーザーを非表示にする改変の確認

テーマの「functions.php」や独自プラグインにおいて、以下のようなコードが追加されていないか確認してください。

add_action('pre_user_query', ...)
add_filter('views_users', ...)

これらはユーザー一覧の表示を変更したり、特定のユーザーアカウントを管理画面上から見えなくしたりする際に利用されることがあります。

不審なファイル・設定の確認

以下のようなファイルが存在しないか確認してください。

• 管理者以外が設置した覚えのないPHPファイル
• ランダムな文字列のファイル名
• 内容が難読化（Base64、eval、gzinflate等）されているPHPファイル
• 不審な管理者ユーザーを作成するコード
• 外部サイトへ通信するコード

uploadsディレクトリの確認

WordPressのアップロードディレクトリ（wp-content/uploads）配下に、不審なPHPファイルが配置されていないか確認してください。

本来、このディレクトリには画像やPDF等のアップロードファイルが保存されるため、運用上意図して配置したものでない限り、PHPファイルの存在は不審な可能性があります。

例: 
wp-content/uploads/*.php
wp-content/uploads/**/*.php

mu-pluginsディレクトリの確認

wp-content/mu-plugins 配下に、覚えのないPHPファイルや不審なプラグインが配置されていないか確認してください。

Must-Use Plugins（mu-plugins）は管理画面の通常のプラグイン一覧とは動作が異なるため、不正なコードが配置されていた場合に気付きにくい場合があります。

例:
wp-content/mu-plugins/

参考情報

IPA（独立行政法人情報処理推進機構）からも注意喚起が公開されています。

• WordPress の脆弱性（CVE-2026-60137、CVE-2026-63030）に関する注意喚起