修正版公開で攻撃が激化
同社の記録では、修正版が公開される前の7月1日から17日までの期間、この脆弱性を狙った通信は1日あたり数十件程度で推移し、合計378件にとどまっていました。しかし、7月18日の修正版公開を境に状況は一変。攻撃通信は急増し、7月26日には1日で57万6,756件を記録しました。修正版公開当日から攻撃者が脆弱性を狙い始めたことがうかがえ、悪用情報が広まると攻撃が急速かつ長期的に続く可能性を示唆しています。
「wp2shell」とは
「wp2shell」とは、WordPressサイトに存在する二つの弱点を組み合わせることで、攻撃者がサイトを乗っ取ることを可能にする攻撃手法です。
一つ目の弱点は、外部からの複数の指示をまとめて処理する「窓口」におけるチェックミスです。これにより、本来管理者専用の領域に入る際に必要な本人確認をすり抜けられる可能性があります。
二つ目の弱点は、サイトの検索機能に関するものです。特定の入力欄に想定外の形式のデータを送りつけると、データチェックが迂回され、データベース内のパスワード情報（ハッシュ値など）が外部から閲覧される恐れがあります。
これらの弱点を順に悪用することで、攻撃者は「鍵のかかった領域に侵入し、そこから得たパスワードでサイトに正規アクセスし、乗っ取る」という一連の行為を実行できると説明されています。
危険度評価の分断と連鎖脆弱性リスク
脆弱性の危険度を測る共通指標であるCVSSにおいて、今回の二つの弱点のうち一つは、ある専門機関から5.9点（中程度）と評価された一方、別の専門機関である米国政府機関のCISAからは9.1点（緊急）と評価され、評価が大きく分かれました。
株式会社サイバーセキュリティクラウドのセキュリティエンジニアは、この評価の乖離について「どちらの点数が正しいか」ではなく、「個別の脆弱性評価では、複数の弱点の組み合わせで生まれる真の危険度を見落とすことがある」点が重要だと指摘しています。単体では中程度に見える脆弱性が、他の脆弱性と組み合わさることで緊急レベルの被害を引き起こす「wp2shell」は、その典型的な事例であるとしています。
今すぐできる対策
WordPressサイト運営者には、以下の対応が推奨されています。
-
WordPressを修正版（7.0.2 / 6.9.5 / 6.8.6 のいずれか、利用バージョンに応じたもの）に更新すること。
-
自動更新の設定が有効になっているか、実際に更新が反映されているかを確認すること。
-
すぐに更新できない場合は、WAF（Webサイトへの攻撃を検知・遮断する仕組み）などで一時的に外部からの不審なアクセスを制限すること。
-
見覚えのない管理者アカウントや、身に覚えのないファイルがないか確認すること。
-
アクセスログを保存し、必要な場合の調査に備えること。
-
サイトの乗っ取りが疑われる場合は、専門家に相談すること。
より詳細な検知データや技術分析は、同社の本編レポートに掲載されています。
［2026年7月度 脆弱性起因 攻撃検知速報］（CVE-2026-63030 / CVE-2026-60137）
ソース元：
株式会社サイバーセキュリティクラウドのプレスリリース