日頃よりAMIMOTOをご利用いただき、誠にありがとうございます。
WordPress本体に、第三者がログインなしでサイトを乗っ取ることが可能な重大な脆弱性 （CVE-2026-63030、通称「wp2shell」）が発見され、2026年7月19日に公表されました。 こちらのお知らせにて、これまでの経緯と弊社の対応、およびお客様にお願いしたい対応についてご案内いたします。
■何が起きているか
wp2shellは、WordPressのREST API機能に存在する脆弱性です。 プラグインやテーマの種類・有無に関係なく、対象バージョンのWordPressを稼働させているだけで 攻撃対象となり得るという点が特徴で、あわせて悪用されるSQLインジェクションの脆弱性 （CVE-2026-60137）も報告されています。
対象バージョンは以下の通りです。
- ・WordPress 6.9.0 〜 6.9.4
- ・WordPress 7.0.0 〜 7.0.1
- ・WordPress 6.8.0 〜 6.8.5（CVE-2026-60137の影響対象）
本記事の執筆時点で、AMIMOTOをご利用のお客様における本脆弱性を悪用した被害は確認されておりません。
■弊社が行った対応
お客様のサイトを保護するための緊急措置として、2026年7月19日23:00頃、 AMIMOTOの全対象サーバーにおいて、攻撃経路となるREST APIのバッチエンドポイント （/wp-json/batch/v1）宛の通信の遮断を完了いたしました。
この措置により、batch v1のREST APIを利用するプラグイン・テーマ・外部連携・独自開発機能を ご利用の場合、該当機能が一時的に動作しなくなる可能性があります。 一方で、通常のサイト表示・閲覧および管理画面の操作には影響ございません。
なお、この遮断措置はあくまで攻撃を受けるリスクを下げるための暫定的なものであり、 脆弱性そのものを解消するものではない点にご留意ください。
■お客様にお願いしたいこと
根本的な対策は、WordPress本体を修正済みバージョンへアップデートしていただくことです。 お手数ですが、以下を目安に管理画面からご確認・アップデートをお願いいたします。
- ・6.9系をお使いの場合 → 6.9.5以降へ
- ・7.0系をお使いの場合 → 7.0.2以降へ
- ・6.8系をお使いの場合 → 6.8.6以降へ
自動更新を有効にされている場合も、管理画面の「更新」画面から実際に適用済みかどうかを 一度ご確認いただくことを強くおすすめいたします。
■今後の見通し
REST APIのバッチエンドポイント遮断は、状況を見ながら継続する予定です。 お客様側のアップデート状況および攻撃観測状況を踏まえ、安全性が確認でき次第、 遮断の解除を検討いたします。対応状況に進展があった場合は、改めてご案内いたします。
ご不便をおかけし申し訳ございませんが、お客様のサイトを守るための措置として
ご理解を賜れますと幸いです。ご不明点がございましたらサポート窓口までお問い合わせください。