WordPressは、セキュリティアップデートであるWordPress 7.0.2をリリースした。

• WordPress 7.0.2 Release – WordPress.org
• WordPress 7.0.2リリース – WordPress.org日本語

【見つかった問題】

• 公表された脆弱性：CVE-2026-63030（通称：wp2shell）
• 内容：外部からの攻撃により第三者による任意のコード実行（Webサイトの乗っ取り）を引き起こすおそれがある脆弱性（CVE-2026-63030（通称：wp2shell））が見つかった。
• WordPress.orgの対応：未認証でのリモートコード実行（RCE）の危険性が極めて高いため、自動更新システム経由での強制アップデートを実行
• 影響を受けるWordPressのバージョン：
  • WordPress 7.0.0 ～ 7.0.1
  • WordPress 6.9.0 ～ 6.9.4
  • WordPress 6.8.0 ～ 6.8.5（連携するSQLインジェクションの影響対象）
• 対応方法：対応バージョンへのアップデート
  • 7.0.x をご利用の場合　→　7.0.2 以降
  • 6.9.x をご利用の場合　→　6.9.5 以降
  • 6.8.x をご利用の場合　→　6.8.6 以降

【その他】

借りているレンタルサーバーでも、REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断するなどの処置が取られているが、この処理は表面的な対応なので、根本的には、問題を解決しているバージョンのWordpressにアップデートする必要がある。

WordPress.orgによる強制アップデートが実行されている場合は、改めてアップデートする必要はないが、Wordpressのバージョンが対応版になっているかの確認を今一度行うこと。