WordPress本体に乗っ取りの脆弱性 CVE-2026-60137ほか、最新版へ更新を

【続報】2026年8月19日 ― 是正期限は2件とも経過。ただし「7.0.2で止めている」と今度は別の穴に当たる

米政府が求めた是正期限は2件とも過ぎました（CVE-2026-63030が7月24日、CVE-2026-60137が8月4日）。2026年8月18日版のリストを確認したところ、両方のエントリは登録時のまま据え置かれており、期限の延長も内容の変更もありません。「ランサムウェア悪用」欄も2件とも「不明（Unknown）」のままです。攻撃者の集団名や帰属の公表も、いまだにありません。

そのあいだに動いたのは、WordPress本体のほうでした。この2件を直した7.0.2のあと、セキュリティ更新がさらに2回出ています。8月6日の7.0.3で11件、8月12日の7.0.4でさらに1件。どちらも今回の2件とは別系統の欠陥で、wp2shellの追加修正ではありません。

ここが今回いちばん大事な点です。7.0.3で直ったCVE-2026-64638はログイン画面の欠陥で、ログインしていない相手からでも成立し、深刻度は「高」と評価されています。つまり「7.0.2に上げたから安心」と手を止めていると、今度はこちらに当たります。この記事の2件については6.8.6・6.9.5・7.0.2以降で対処済み、という案内は変わりません。ただし2026年8月19日時点の最新版は7.0.4（旧系統は6.9.7と6.8.8）で、上げるならそこまで一気に進めてください。

攻撃の規模も見えてきました。国内のセキュリティ企業サイバーセキュリティクラウドは、修正版公開からの9日間（7月18〜26日）で累計1,950,165件の攻撃通信を検知したと8月4日に公表しています（ScanNetSecurityが8月14日に報道）。国別では米国が30.9%で最多、日本は9.4%で3番目、国内からも984個のIPアドレスが攻撃側に回っていました。修正版が出た当日、問題のエンドポイント宛の通信は前日比277倍に跳ね上がっています。

実際に侵入された現場の記録も出ました。米国のホスティング事業者InMotion Hostingは、顧客2件の被害を調査した結果として、侵入から不正なプラグインが有効化されるまで24〜28秒、ひとつのアカウントで不正な管理者が38件作られ、居座るための仕掛けが9層に分けて仕込まれていたと報告しています。しかも7月20日に駆除した先から、7月26日に再び入られています。更新して終わりにせず、覚えのない管理者アカウントが増えていないか、通信記録に wp2shell という文字列が残っていないかまで見てください。

国内のレンタルサーバーでは、エックスサーバーが8月6日に緊急の通信遮断を解除したと告知しています。ただし脆弱なバージョンのまま運用しているドメインについては遮断を続けるとしており、更新していないサイトはサーバー側で機能を止められたままになっている可能性があります。

最後に、危険度の数字について補足します。この2件は点数を付けた組織が2つあり、値が食い違っています。発見元のWPScanはCVE-2026-60137を5.9・CVE-2026-63030を9.8と評価し、米CISA側はそれぞれ9.1・7.5と評価しました。本記事の表は米CISA側の数字を採っています。米NVD自身はどちらにも独自の点数を付けていません。報道で見かける「9.8」は、WPScanがCVE-2026-63030に付けた値です。CVE-2026-60137に9.8と書いてある記事は取り違えています。

そして、実際に攻撃される確率の予測値（EPSS）で見ると順番は逆になります。2026年8月18日時点で、CVE-2026-63030が0.956（全CVEの上位0.2%以内）、CVE-2026-60137が0.731。60137は8月8日にわずかに下がって以降は横ばいです。乗っ取りまでの連鎖の入り口になるのは63030側で、米政府の是正期限もこちらのほうが11日早く設定されていました。点数の大小だけで優先順位を決めないほうがよい、という一例です。なお日本国内では、IPAの注意喚起が7月22日から更新されておらず、JPCERT/CCも週報での言及にとどまり、注意喚起への格上げはありません。

【続報】2026年7月24日 ― 悪用が数万件規模に拡大、IPAも注意喚起。米政府の是正期限が本日到来

攻撃はさらに広がっています。セキュリティ企業watchTowrは、自社の観測網で数万件規模の悪用の試みを確認し、複数の攻撃者によって100を超える不正な管理者アカウントが作られたと報告しました。少なくとも1件では、遠隔操作用の不正プログラム（RAT）を仕込もうとする試みも確認されています。悪用の勢いは衰えておらず、別のセキュリティ企業の観測でも日本時間7月24日未明の時点まで攻撃の通信が続いていることが記録されています。クラウド分野のWizは、WordPressを使う組織のおよそ6割が当初は未修正のまま該当し、4分の1はその状態のサーバーをインターネットに公開していたと分析しています。

日本国内でも動きがありました。IPA（情報処理推進機構）は2026年7月22日、この2件（CVE-2026-60137・CVE-2026-63030）について注意喚起を公開し、6.8.6／6.9.5／7.0.2以降への速やかな更新を呼びかけました。レンタルサーバー大手のエックスサーバーも7月22日、サーバー側での対策と利用者への注意喚起を告知しています。自分でWordPressを管理していない場合でも、契約先のレンタルサーバーからの案内を一度確認しておくと安心です。

米政府機関CISAが求めた是正期限のうち、危険度の高いCVE-2026-63030の分は本日2026年7月24日が期限です（CVE-2026-60137は8月4日）。民間サイトも同じ緊急度で、まだ更新していないなら今すぐ済ませてください。すでに攻撃を受けていないか気になる場合は、身に覚えのない管理者アカウントが増えていないか、投稿やテーマファイルが書き換えられていないかを重点的に点検してください（100を超えるアカウントが不正に作られた事実からも、この確認は特に重要です）。なお、米政府リストの「ランサムウェア悪用」欄は本記事更新時点でも「不明（Unknown）」のままで、特定の身代金要求型攻撃への使用は確認されていません。攻撃中の脆弱性の最新状況はCISA KEV一覧（日本語版）でも追えます。

【続報】2026年7月21日 ― 米CISAが「攻撃中の脆弱性」に登録、実際の悪用も確認

状況がさらに一段進みました。米CISA（サイバーセキュリティ・インフラ庁）は2026年7月21日、今回の2件（CVE-2026-60137・CVE-2026-63030）を「実際に攻撃されている脆弱性リスト（KEV）」に追加しました。KEVは米政府機関に期限付きの対処を義務づける公式リストで、ここに載るのは「実際の攻撃で使われていることが確認された」ことを意味します。7月18日以降に各社が報告していた「悪用の試み」が、実被害を伴う攻撃として裏づけられた形です。これまでKEVに載ったWordPress関連はいずれもプラグインの欠陥で、本体そのものの脆弱性が登録されるのは異例だと指摘されています。CISAは米政府機関に対し、CVE-2026-63030を7月24日まで、CVE-2026-60137を8月4日までに是正するよう義務づけました（民間サイトもこの期限を緊急対応の目安にできます）。なお同リストの「ランサムウェア悪用」欄は本記事更新時点で「不明（Unknown）」で、特定のランサム集団による利用は明示されていません。

連鎖攻撃「wp2shell」はログイン不要・プラグイン不要・設定変更不要でそのまま成立するため、古いバージョンのまま公開されているサイトは特に危険です。まだ更新していないサイトは、6.8.6／6.9.5／7.0.2以降への更新を最優先で済ませてください。すでに侵害されていないか気になる場合は、身に覚えのない管理者アカウントの追加、投稿やテーマファイルの改ざん、不審な外部通信がないかもあわせて点検しておくと安全です。攻撃中の脆弱性の最新状況はCISA KEV一覧（日本語版）でも追えます。

【続報】2026年7月21日 ― 実証コードが公開され、悪用の試みも観測

初報（7月18日）以降、状況が動きました。今回の連鎖攻撃には発見元のSearchlight Cyber（Assetnote）によって「wp2shell」という通称が付き、攻撃を再現する実証コード（PoC）が7月18日以降GitHubで公開されました。これに伴い、Patchstack・WatchTowr・Hexastrikeなどが実際の攻撃・スキャンの試み（in-the-wild）を報告しています。ただし本記事更新時点では「大規模な乗っ取りキャンペーン」と断定された発表はなく、大量スキャンから侵害への移行を各社が警戒している段階です。これを受けて米CISAは同7月21日、両CVEを「攻撃中の脆弱性リスト（KEV）」に追加しました（上の続報を参照）。

検証などの都合ですぐに更新できない場合は、つなぎの措置として、攻撃の入口である一括処理窓口 /wp-json/batch/v1 への匿名アクセスを、前段のWebサーバーやWAF（不正な通信を遮断する仕組み）で一時的に遮断する方法がHelp Net Securityなどで案内されています。ただしこの窓口を使う一部の連携が止まる可能性があるため、あくまで応急策です。本質的な対処は6.8.6／6.9.5／7.0.2以降への更新で、この点は初報から変わりません。