WordPress「WP2Shell」対応の記録 - 重大脆弱性が公開された日、ASMは何をするのか
2026年7月17日（米国時間）、WordPress本体に緊急度Criticalの脆弱性「WP2Shell」が公開されました。ログイン不要・プラグイン不要で成立するため、WordPressを利用する多くの組織で影響確認が必要になります。
貴社のWebサイトやサービスでWordPressをご利用の場合、影響の確認はお済みでしょうか。重大脆弱性が公開されたとき、最初の作業は「自組織のどこで該当ソフトウェアが動いているか」の特定です。本記事では、脆弱性の概要とあわせて、この特定から個別通知までを、脆弱性の公開から翌日(日本時間では検知当日)のうちに完了したGMOサイバーセキュリティ byイエラエのASMツール「GMOサイバー攻撃ネットde診断 ASM」（以下、ネットde診断 ASM）の対応を、時系列でご紹介します。
※WP2ShellはSearchlight Cyber社の発見です
目次
WP2Shellとは
WP2Shellは、WordPress本体のREST APIに存在する2つの脆弱性（CVE-2026-63030、CVE-2026-60137）を組み合わせた攻撃手法です。発見者は海外セキュリティ企業Searchlight Cyber社のリサーチチームです。
WP2Shellのポイントは3つです。
- 認証不要：ログインアカウントがなくても攻撃できる
- 前提条件なし：プラグインを入れていない初期状態のWordPressでも成立する
- 影響が最大級：データベースの読み取りから、サーバー上での任意のコマンド実行（＝サーバーの乗っ取り）まで到達しうる
影響を受けるのはWordPress 6.9.0〜6.9.4および7.0.0〜7.0.1です。
修正版として6.9.5と7.0.2が7月17日に公開され、WordPress側は自動更新(バックグラウンド更新)による配信も行っています。ただし自動更新を無効にしている環境では適用されていない可能性があるため、実際に稼働中のバージョンの確認が必要です。
より詳しい情報は、WordPress公式のリリース情報をご確認ください。
ネットde診断 ASMの対応タイムライン
| 日時 | 対応内容 |
|---|---|
| 7/17（米国時間） | WordPress 6.9.5 / 7.0.2 公開。脆弱性情報が公開される |
| 7/18 9:46（日本時間、以下同） | ネットde診断 ASMの運用チームが本脆弱性を検知、影響評価を開始 |
| 7/18 20:24 | ネットde診断 ASMをご利用のお客様へ注意喚起を配信 |
| 7/18 20:41 | 該当バージョンのWordPressが検出されたご利用組織へ、個別に通知完了 |
該当バージョンが検出されたのは、ご利用組織全体の約20%でした。検知から個別通知の完了までは同日中、約11時間です。
※通知の対象となったのは、2026年3月26日以降にネットde診断 ASMで診断を実施したお客様となります。
※該当組織への個別のご連絡は、本脆弱性の影響度を踏まえて今回の判断で実施した対応です。標準サービス（SLA）に含まれる対応ではなく、すべての脆弱性について同様の対応をお約束するものではありません。
なぜすぐに通知できたのか
平時からの資産の可視化
ネットde診断 ASMが平時からお客様のインターネット公開資産（サーバー、ドメイン、稼働ソフトウェアとそのバージョン）を継続的に把握しています。
重大脆弱性が公開された時、多くの組織で最初のボトルネックになるのは「自社のどこで該当ソフトウェアが動いているか分からない」ことです。資産の棚卸しから始めると、それだけで数日かかることもあります。
ネットde診断 ASMではこの棚卸しが常に済んでいる状態のため、「影響を受けるのは誰か」を速やかに特定し、通知に進むことができました。
運営チームによる影響範囲の分析と緊急連絡の判断
攻撃のPoC(実証コード)が公開される前の段階で、ネットde診断 ASM運営チームが脆弱性の内容と影響範囲を分析しました。そのうえで「緊急でお客様へ個別にお知らせすべき」と判断し、注意喚起の配信と個別通知に進んでいます。
WordPressを利用されている方が確認するポイント
まだ本脆弱性に対する対処がお済みでない場合は、以下の3点をご確認ください。
- WordPressのバージョンを確認し、6.9.5または7.0.2以降へ更新してください
- 自動更新を無効にしている場合は、手動での確認・更新が特に重要です
- 6.8系をご利用の場合、WP2Shellによるサーバー乗っ取りは対象外です。ただしWP2Shellを構成するSQLインジェクションの影響は受けるため、その修正版である6.8.6への更新を推奨します
関連記事：WordPressの脆弱性を放置すると危険？テーマやプラグインのセキュリティ対策も解説
GMOサイバー攻撃ネットde診断 ASMについて
ネットde診断 ASMは、組織のインターネット公開資産を自動で発見・可視化し、リスクを継続監視するツールです。今回のような緊急時の影響範囲の確認にもご活用いただけます。影響範囲の確認にお困りの際は、お気軽にご相談ください。
本記事が、ご対応の一助となれば幸いです。
専門知識がなくても使えるASMツール ネットde診断 ASM
ネットde診断 ASMは、ドメインを入力するだけで自動で定期的な脆弱性診断を行います。セキュリティの専門知識がない方も手軽にご利用いただけます。
資料ダウンロード監修：GMOサイバーセキュリティ byイエラエ 編集部
企業の情報セキュリティ担当者や開発者向けに、サイバーセキュリティに関する情報を発信しています。
