WordPressの脆弱性「wp2shell」（CVE-2026-63030、CVE-2026-60137）と「SiteGuardシリーズ」の対応

コンテンツマネジメントシステム（CMS）のWordPressに、「wp2shell」（CVE-2026-63030、CVE-2026-60137）の脆弱性が発見され、悪用が確認されています。

この問題は、WordPressにSQLインジェクションの脆弱性（CVE-2026-60137）があり、WordPress REST APIのバッチエンドポイントの脆弱性（CVE-2026-63030）と組み合わせることで、認証されていない第三者によるリモートコード実行が可能になるという点にあります。

認証を必要とせずに、外部からリモートコードを実行される恐れがあり、WordPressの開発チームも深刻な脆弱性として、対策済みのバージョンへ早期にアップデートを実施するよう利用者に求めています。

WordPressをご利用の場合は、下記の情報などを参考に早急な対策を実施することが推奨されます。

参考情報：IPA
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)

なお、「SiteGuardシリーズ」では、既存のシグネチャで「wp2shell」による攻撃の検出を確認しているほか、WordPress REST APIのバッチエンドポイントへのアクセスを制限する最新のトラステッド・シグネチャをリリース済みです。

追加情報が公開された場合は、随時対応状況を更新いたします。

※クラウド型WAF「SiteGuard Cloud Edition」をご利用のお客様は、マネージドサービスにより最新のシグネチャが適用されています。
※ホスト型WAF「SiteGuard Server Edition」、ゲートウェイ型WAF「SiteGuard Proxy Edition」をご利用のお客様は、ウェブ管理画面の更新設定にしたがい、最新のシグネチャが適用されます。

ソフトウェアやフレームワークに深刻な脆弱性が発見された場合の緊急的な対策の一つとして、WAF（ウェブアプリケーションファイアウォール）は大きな効果を発揮します。また、日々のウェブサイトの運用、脆弱性対策におけるセーフティネットとしての役割を担います。

国産WAF「SiteGuardシリーズ」は、業種・業態を問わず数多くの導入実績をもち、レンタルサーバー事業者のWAF機能として標準実装されている実績から、保護対象サイト数は150万を超えています。

ワンランク上のWebサイトのセキュリティ対策に、ぜひ「SiteGuardシリーズ」をご活用ください。