WordPressの複数の脆弱性を組み合わせた「wp2shell」と呼ばれる攻撃が確認されました。管理者権限がなくても遠隔でコード実行される可能性があり、情報処理推進機構（IPA）は直ちの対応を推奨しています。
要点まとめ
WordPress 6.9以降のバージョンに存在するCVE-2026-60137とCVE-2026-63030の2つの脆弱性が、組み合わせることで「wp2shell」という新たな攻撃ベクトルを形成しています。この脆弱性の最大の問題は、標準的な設定でも管理者権限を必要とせず、攻撃者が遠隔でシステムを完全に支配するコードを実行できる点です。既にCISAの悪用脆弱性カタログに登録され、実証コードも公開されているため、今後の悪用拡大が懸念されます。WordPress 6.8.0から6.8.5も影響を受け、修正バージョンは6.8.6および6.9の更新版以降となります。自動更新機能が有効化されている場合でも、環境や設定によっては失敗する可能性があるため、ダッシュボードからのバージョン確認と手動更新が重要です。
考察
このタイプの脆弱性が深刻な理由は、単一の問題ではなく複数の欠陥の組み合わせにより初めて大きな被害をもたらす点にあります。wp2shellのように別々には限定的な影響しかない脆弱性も、組み合わせると致命的になるケースは増加傾向にあります。また、自動更新という便利な機能があっても、実際の運用環境では機能しない場合が多いという現実は、管理者の負担と確認責任の重要性を示しています。特にWordPressは個人ブログから企業サイトまで広く使われているため、ユーザー側の迅速な対応なしに被害が連鎖的に拡大する可能性があります。
出典
元記事: 情報処理推進機構（IPA）