CyberSecurityAction

脆弱性情報 / サイバー攻撃トレンド

WordPress「wp2shell」大規模悪用——コアSQLインジェクションで未認証RCE、国内サイトも標的に

WordPressコアに存在するSQLインジェクション（CVE-2026-63030）を利用した未認証RCEが急増。JPCERT/CCも注意喚起を発出し、国内のWordPressサイト運営者は即時対応が必要。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
WordPress「wp2shell」大規模悪用——コアSQLインジェクションで未認証RCE、国内サイトも標的に

THREAT GAUGE算出基準

IMPACT（影響範囲）9.5
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）9.5

“大規模スキャン・悪用が進行中。PoC公開済み+大量自動化攻撃。即時パッチ必須。”

01 · Overview

ニュースの概要

WordPressコアに存在するSQLインジェクション脆弱性（CVE-2026-63030）と認証回避脆弱性（CVE-2026-60137）を組み合わせた「wp2shell」攻撃チェーンが2026年7月中旬から急増している。JPCERT/CCが2026年7月23日の週次レポートで「WordPressにリモートコード実行につながる脆弱性」として注意を促しており、SANS Internet Storm Centerも「WordPress Exploitation Underway」として大規模なスキャンを確認している。

WordPressはCMS（コンテンツ管理システム）市場で世界シェア約40%を占めており、日本国内でも個人ブログから企業の公式Webサイト、官公庁のCMS基盤まで幅広く使用されている。今回の攻撃チェーンはプラグインではなくWordPress本体（コア）の脆弱性を突くため、プラグインを絞り込んで最新化するという従来の対策だけでは不十分である。

wp2shellの攻撃は二段階で構成される。まずCVE-2026-60137でWordPressの認証チェックを回避し、次にCVE-2026-63030のSQLインジェクションを利用してWebシェルをサーバーにアップロードする。成功すると攻撃者はサーバー上で任意コードを実行でき、マルウェアの設置、スパムメール送信、フィッシングサイトへの転用、バックドアの設置などが行われる。

SANS ISCによると、2026年7月20日（UTC）の時点で大規模な自動スキャンが開始されており、パッチ未適用のWordPressサイトへの攻撃成功事例が多数確認されている。WordPressの自動更新機能が有効になっている場合は最新バージョンへの更新が自動的に行われているが、手動更新設定にしている組織では即時の手動アップデートが必要となる。

CVE番号（SQLi）
CVE-2026-63030（コアSQLインジェクション）
CVE番号（認証回避）
CVE-2026-60137
攻撃名称
wp2shell
スキャン確認日
2026年7月20日（UTC）から大規模化
影響対象
未パッチのWordPress全バージョン
JPCERT注意喚起
2026年7月23日週次レポート掲載

JPCERT/CC週次レポート（wr260723）・SANS ISC・The Hacker Newsに基づく。国内被害件数は現時点で公開情報なし。調査継続中。

02 · Analysis

詳細な原因解説

wp2shellの根本原因はWordPressコアのSQLクエリ構築における入力値の不適切なサニタイズにある（CVE-2026-63030）。特定のHTTPリクエストパラメータをWordPressが適切にエスケープ・検証せずSQL文に組み込むため、攻撃者が細工したSQL文でデータベースを操作できる。これにより悪意のあるPHPファイル（Webシェル）をサーバーのファイルシステムに書き込むことができる。

CVE-2026-60137の認証回避は、wp2shellチェーンの「入口」として機能する。本来管理者のみが使用できるWordPressの内部APIエンドポイントに対し、特定の細工されたリクエストを送ることで認証チェックがバイパスされる。プラグインではなくコア本体の問題であるため、プラグインを無効化しても防げない。

WordPressが持つ自動更新の仕組みは、こうした重大な脆弱性に対してセキュリティパッチを自動配布する機能を持つ。しかし自動更新を手動に変更しているサイト、古いバージョンに依存したテーマ・プラグインを使用してアップデートを意図的に止めているサイト、または自動更新が機能していないホスティング環境では、脆弱なバージョンが残存しやすい。

日本では中小企業や個人が安価な共有ホスティングを利用してWordPressを運用するケースが多く、サイト管理者の技術的なリテラシーにばらつきがある。企業の公式サイトがWordPressで構築されている場合、フィッシングへの転用や情報漏えいのリスクが高く、被害は運営者だけでなくサイト訪問者にも及ぶ。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER: wp2shellの攻撃転用と拡大シナリオ

Q. 攻撃者はWordPressサイトへの足がかりをどのように悪用・転用するか？

Combine（組み合わせ）：WordPressサイトの侵害は多くの場合、フィッシングページの設置・SEOスパム（日本語キーワードハイジャック）・クリプトマイナーの仕込みという複合的な被害に使われる。企業の公式サイトがフィッシングページに転用された場合、ブランド毀損と顧客被害が同時に発生する。Substitute（代替）：攻撃者はWebシェルを削除されても別のバックドアを仕込む「多重扉」戦略を取るため、感染したサイトは一度の対応では完全駆除が困難なことが多い。Modify（変更）：大規模なWordPress侵害ネットワークを構築し、DDoS攻撃のボットネットとして転用したり、他のサイトへの攻撃踏み台として利用するケースが確認されている。

システム思考: WordPressエコシステムの脆弱性構造

Q. なぜWordPressは繰り返し重大脆弱性の標的となり続けるのか？

WordPressの市場シェア40%という規模自体が、攻撃者にとって「1つの脆弱性で世界中の数千万サイトを攻撃できる」というインセンティブを生む。また、WordPressの強みであるプラグインエコシステムは、セキュリティ品質が均一でないサードパーティコードが無数に存在するという脆弱性拡散の温床でもある。今回はコア本体の脆弱性であるため特に深刻だが、根本的な問題はサイト管理者の多くが「インストールしたら終わり」という意識を持ち、継続的なメンテナンスを怠ることにある。企業がWordPressを採用する際にメンテナンス体制（担当者・更新サイクル・監視）を明文化することが、この負のフィードバックループを断ち切る鍵となる。

WordPressサイトを長期的に守るための現実的な防衛策

最も確実な防衛策は「常に最新バージョンを維持する」という基本の徹底である。WordPressの自動コアアップデート（WP_AUTO_UPDATE_CORE）を有効にし、セキュリティリリースは人間の判断を待たずに自動適用する設定が推奨される。これだけで今回のwp2shellのような既知パッチ済み脆弱性の大多数を無効化できる。

自動更新に依存できない環境（共用ホスティング等）では、Wordfenceなどのセキュリティプラグインのリアルタイム監視とWAFが有効な代替手段となる。また、サーバーサイドでのPHPの実行権限を最小化し、アップロードディレクトリ（wp-content/uploads/）でのPHP実行を禁止するサーバー設定（.htaccessやnginx設定）を追加することで、Webシェルがアップロードされても実行できない環境を作ることができる。

06 · AI Prompt

AI対策プロンプト

あなたはWordPressセキュリティの専門家です。[組織名]（[業種]）では[用途]のためにWordPressを運用しています（サーバー環境: [ホスティング環境]）。 wp2shell攻撃（CVE-2026-63030 + CVE-2026-60137）の大規模悪用が確認されたことを踏まえ、以下を回答してください： 1. 現在の侵害有無を確認するための調査チェックリスト（コマンド例を含む） 2. [ホスティング環境]でのアップデート手順と注意事項 3. 今後の再発防止のためのWordPressハードニング設定（Top10） 4. WordPressサイトの管理・運用責任者への説明文テンプレート（300文字以内）

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

あなたの組織・会社名

業種（例：小売・医療・教育・公共機関等）

WordPressの使用目的（例：企業公式サイト、ECサイト、社内ポータル等）

サーバー・ホスティングの種類（例：さくらインターネット、AWS、共用ホスティング等）

キーワード

  • WordPress脆弱性
  • CVE-2026-63030
  • wp2shell
  • SQLインジェクション
  • CMS攻撃

SOURCES · 参考情報源