WordPress Coreに新たに発見された「wp2shell」脆弱性(CVE-2026-63030/CVE-2026-60137)が、すでに攻撃者によって悪用されていることが確認されています。問題の中心にあるのは、REST APIのバッチ処理機能を悪用したリモートコード実行(RCE)で、認証不要で攻撃できる点が、今回の脆弱性を特に危険なものにしています。WordPressはすでに修正版(7.0.2/6.9.5/6.8.6)を公開し、自動アップデートが順次適用されていますが、攻撃はその直後から活発化しています。攻撃者が行っている具体的な手口クラウドセキュリティ企業Wizの分析によると、攻撃者は以下のような行動を取っています。脆弱なWordPressサイトを大量スキャンプラグインアップロード機能を悪用し、悪意あるプラグインを設置シンプルなバックドアから高度に難読化されたwebshellまで、様々なPHPシェルを配置REST APIを使って管理者のユーザー名やメールアドレスを収集admin-ajax.phpを経由したローカルファイルインクルードでwp-configを狙い、DB認証情報を窃取外部からコマンド実行できるREST APIエンドポイントを持つ悪意あるプラグインを展開管理画面への不正アクセス現時点では横移動やデータ流出は確認されていないものの、攻撃者が継続的に活動していることが報告されています。また、Sans Technology InstituteのJohannes B.Ullrich氏は、攻撃が以下の二段階で行われていると指摘しています。SQLインジェクションで脆弱性の有無を確認PHP webshell を /wp-content/cache/ に設置設置されたwebshellはランダムなファイル名を持ち、その名前自体がアクセス用のパスワードとして使われる仕組みです。通常アクセスでは偽の404ページを返すため、発見が難しい構造になっています。加えて、一部の攻撃では不正な管理者アカウントの作成も確認されており、サイト管理者はユーザー一覧のチェックが必須です。WordPressセキュリティ企業Defiantによれば、最初の攻撃関連のprobingは7月17日23: 29 UTCに観測され、そのわずか13分後には明確なSQLインジェクション攻撃が始まったとのこと。脆弱性公開から攻撃開始までのスピードが非常に速い点が印象的です。サイト管理者が取るべき対策今回の脆弱性はすでに広く悪用されているため、以下の対策が急務です。WordPressを最新バージョンへ更新wp2shell関連のログを確認インストール済みプラグインの見直し/wp-content/cache/内の不審なPHPファイルをチェック新規作成された管理者アカウントの有無を確認wp2shell脆弱性は、WordPressのシェアを考えると非常に影響範囲が大きい問題であり、サイト管理者は「自分のサイトは大丈夫」と油断せず、即時のアップデートとログ確認を行う必要があります。