概要
2026年7月17日、NVDはWordPressコアの重大な脆弱性CVE-2026-63030を公開しました。コミュニティは連鎖をWP2Shellと呼びます。REST APIバッチのルート混乱(/?rest_route=/batch/v1)と、author__not_inパラメータのSQLインジェクション(CVE-2026-60137)が組み合わさり、未認証のリモートコード実行に至ります。
悪用状況
- 7月20日: CrowdSecが最初の悪用を確認し検知ルールを公開。
- 7月21日: CISAが同CVEをKEVに追加。連邦機関の期限は7月24日。
- 深刻度はCVSS 9.8。PoCとNucleiテンプレートが公開され、数日で数千のIPがインターネットを走査しました。
影響バージョンと修正
6.9.xの6.9.5未満と7.0.xの7.0.2未満が影響を受けます。コアの問題のためプラグインは不要で、未更新の公開サイトが標的になります。
対応
直ちに7.0.2または6.9.5へ更新し、自動更新が適用されたか確認し、RESTバッチエンドポイントを監視してください。