お客様各位
平素よりATWインターネットサービスをご利用いただき誠にありがとうございます。
このたび、WordPress本体において深刻な脆弱性が公表されました。
これらの脆弱性が悪用された場合、複数の脆弱性を組み合わせた攻撃により、任意コード実行（RCE）に至るおそれがあります。
暫定対応として、REST APIのバッチエンドポイント(/wp-json/batch/v1)への通信を遮断させていただきました（※専用サーバは除く）。
お客様にてWordPress REST API を利用する独自開発システムなどを利用されている場合、該当のプログラムが正常動作しない可能性がございます。
何卒ご理解賜りますようお願い申し上げます。
脆弱性の詳細は以下のとおりです。
■概要
WordPress REST API のバッチ処理エンドポイント「/wp-json/batch/v1」に関するルート解決処理の不備の脆弱性です。
本来、REST API の各エンドポイントでは権限チェックが行われますが、バッチ処理時のルート解決処理に問題があり、
攻撃者が意図した権限チェックとは異なる処理経路を通過できる可能性があります。
■CVE番号
CVE-2026-63030（通称：wp2shell）
■影響
攻撃が成功した場合、例えば以下の影響が発生する可能性があります。
・本来認証が必要な REST API 機能へ不正アクセスされるおそれ
・WordPress内部情報を不正に取得されるおそれ
・CVE-2026-60137 などの別の脆弱性と組み合わせることで、重大な攻撃チェーンの起点となるおそれ
■影響を受けるバージョン
・6.9.0～6.9.4
・7.0.0～7.0.1
■対象コース
PS-01 / PS-02
PS-A1 / PS-A2
PS-C1 / PS-C2
■対策
最新版のWordPressへアップデートしていただきますようお願いいたします。
※WordPress.orgは影響バージョンに対して、自動更新を強制する対応を公表しているため、すでにアップデートされている場合がございます。
6.9.x をご利用の場合 → 6.9.5 以上
7.0.x をご利用の場合 → 7.0.2 以上
——————————————————————————————————————————————
■概要
WordPress の検索クエリ処理クラス「WP_Query」のパラメータ「author__not_in」に対する SQLインジェクションの脆弱性です。
本来、外部入力値は適切にサニタイズされる必要がありますが、このパラメータ処理に不備があり、
プラグインやテーマが未検証の入力を渡した場合、SQL文へ不正な値を混入できる可能性があります。
■CVE番号
CVE-2026-60137
■影響
攻撃が成功した場合、例えば以下の影響が発生する可能性があります。
・WordPress内部情報を不正に取得されるおそれ
・条件によってはWebシェル設置や任意コード実行（RCE）につながるおそれ
・サーバー不正侵入の足掛かりとなるおそれ
■影響を受けるバージョン
・6.8.0～6.8.5
・6.9.0～6.9.4
・7.0.0～7.0.1
■対象コース
PS-01 / PS-02
PS-A1 / PS-A2
PS-C1 / PS-C2
■対策
最新版のWordPressへアップデートしていただきますようお願いいたします。
※WordPress.orgは影響バージョンに対して、自動更新を強制する対応を公表しているため、すでにアップデートされている場合がございます。
6.8.x をご利用の場合 → 6.8.6 以上
6.9.x をご利用の場合 → 6.9.5 以上
7.0.x をご利用の場合 → 7.0.2 以上
■まとめ
| WordPressのバージョン | CVE-2026-63030 | CVE-2026-60137 | 任意コード実行 | 修正版 |
| 6.8未満 | 対象外 | 対象外 | 対象外 | 最新版を推奨 |
| 6.8.0～6.8.5 | 対象外 | 影響あり | 対象外 | 6.8.6 以上 |
| 6.9.0～6.9.4 | 影響あり | 影響あり | 影響あり | 6.9.5 以上 |
| 7.0.0～7.0.1 | 影響あり | 影響あり | 影響あり | 7.0.2 以上 |