WordPressの深刻度「緊急」脆弱性 wp2shell の概要と対応指針 - GMO Flatt Security Blog

2026年7月17日、認証不要でリモートからの任意コード実行（RCE）につながる脆弱性「CVE-2026-63030」「CVE-2026-60137」を修正したWordPress 6.8.6、6.9.5、および 7.0.2 が公開されました（参考：WordPress 7.0.2 Release）。Searchlight Cyber の Adam Kues 氏により報告された脆弱性です。 弊社 GMO Flatt Security リサーチチームの追加検証では、脆弱なバージョンでは標準構成でも、管理者の認証情報等を要さずに、リモートからの任意コード実行が可能である と判断しています。直近発見された脆弱性の中でも、相対的に深刻度が高く、WordPress のアップデートなしでは、WordPress データベースやサーバ内のさまざまな情報の窃取や、ページの改ざん、他悪性スクリプトの設置など、様々

[fashi]

標準的な設定なら既に自動アップデートが適用されているはず

[wumf0701]

WordPressオワコン勢が沸いてるかなと思ったら結構いた

[toro-chan]

記事見てアップデートしなきゃと思ったらもう勝手にされてた。強制アップデートできるんだな。。知らなかったのでちょっとびっくり。

[fut573]

推奨セキュリティ設定により公開後10分以内に自動対応済み

[fellfield]

休日だけど保守している全サイトを確認した。ほぼ強制アップデートされていたので有り難い。

[ot2sy39]

WordPressについては、かつてのノウハウが溜まっているから脳死でBINDを使う、Sendmailを使うという状態になってると思う。 / 自動アップデートで安心してるが、パッチ公開前に使われていないかは調べたのかい？

[ArcCosine]

WordPressを使うことがどんどんリスク高くなってるなぁ／脆弱性2つの合わせ技なのがとてもテクニカル

[T-anal]

ブログのオワコン化にトドメ刺しそうだな。WorldPress使ってるブログは総じてカスばっかりなんで滅んでも困らんけど。

[aaaikaaa]

うぉー！対応しなきゃ。

[csal8040]

“ GMO Flatt Security リサーチチームの追加検証では、脆弱なバージョンでは標準構成でも、管理者の認証情報等を要さずに、リモートからの任意コード実行が可能である と判断しています”

[mayumayu_nimolove]

全Webサイトの約42.2%〜43.5%、CMS市場においては60%以上のシェアを誇るツールをオワコンって言ってるエンジニアの方がオワコンだろwww

[ys0000]

WordPressはプラグインの互換性とか考えるの面倒だし標準で使って自動アップデートが正解な気がしてる。

[tmatsuu]

ソースコードをベースに丁寧に説明してくれてありがたい。そしてこのソースコードを見て「prepared statementを使わずSQLを文字列で組み立てるやべぇ実装」であることが知れ渡ると良いですね(ﾆｯｺﾘ

[igni3]

アップデート通知が来てたのこれか

[nonsect]

最近のやつは自動更新でほとんど大丈夫と思うねんけど念のため管理しているサイトを全部チェックする。

[tohokuaiki]

このブログも３連休に出社して書いたんかな。GMOさん、お疲れ様です

[zakinco]

世界中のWPサイトが検索ジャックされてるのを見ると使う気がしないんだよね

[T-norf]

自動アップデートかかってるか要確認。業務で使ってるサイトが複数ある

[satotaka99]

要確認

[harumaki_net]

既にアップデートされてた。セキュリティ更新の強制適用なんてのがあったのか…

[kawabata100]

はてなブログに回帰する人が増えるんかね？はてな側も売り込みのチャンスやで

[gyampy]

メモ

[y-pak]

wpなんて滅びろよ

[FreeCatWork]

セキュリティ対策は必須にゃ！パッチを当てない悪い奴には、ボクの渾身の猫パンチをお見舞いしちゃうんだからにゃ！

[mkusaka]

wp2shellの未認証Pre-Auth RCE解説。WordPress 6.8.6/6.9.5/7.0.2更新とWAF遮断指針（/batch/v1）。

[nguyen-oi]

wp2shellやばすぎ。REST APIの仕様を逆手に取ったRCEとか怖すぎる。早くアプデしなきゃ（使命感）