WordPress Coreの脆弱性 CVE-2026-63030 / CVE-2026-60137 (通称「wp2shell」)についてまとめてみた - piyolog

2026年7月17日、WordPressを開発するWordPress.orgは、WordPress Coreに認証不要のリモートコード実行(RCE)に至る深刻な脆弱性が確認されたとして、セキュリティリリース版WordPress 7.0.2を公開し、対象バージョンを利用するサイトに自動更新システム経由での強制アップデートを有効化する対応を取りました。これら2件の脆弱性を組み合わせた攻撃は、発見者により「wp2shell」と命名されています。ここでは関連する情報をまとめます。 どんな脆弱性が確認されたの? WordPress Coreでは、REST APIのバッチ処理において、サブリクエストと対応するルート・ハンドラー・検証結果の対応関係がずれる不具合(CVE-2026-63030)と、WP_Queryのauthor__not_inパラメータに攻撃者が制御可能なスカラー値が渡された場合にSQL

[s_nagano]

“GMO Flatt Securityは、日本の三連休(2026年7月18日〜20日)中にアップデートを行わない場合、被害が拡大する可能性があると注意を呼びかけている。”

[mayumayu_nimolove]

これ非エンジニアにヤバさが全く伝わらないのでは？

[IGA-OS]

休日のアップデート作業

[mkusaka]

WordPress CoreのCVE-2026-63030/CVE-2026-60137「wp2shell」を整理し、対象(6.9.0〜/7.0.0〜)や7.0.2の対策をまとめる

[nguyen-oi]

連休明けにWeb制作会社が阿鼻叫喚になるやつ。自動更新頼みだけど手動確認も必須だな