【概要】
WordPressにおいて、認証不要でリモートからの任意コード実行（RCE）につながる脆弱性CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）及びCVE-2026-63030（GHSA-ff9f-jf42-662q）の脆弱性が発見されました。
WordPress 6.9 以降では、これら 2 件の脆弱性の組み合わせにより、遠隔でのコード実行が生じる可能性があります。
これらの 2 つの脆弱性を組み合わせは「wp2shell」と呼ばれ、標準構成において、管理者権限などを要さないで、攻撃者が遠隔でのコード実行に至る可能性が指摘されています。
※ご参考URL
https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html
【対象バージョン】
WordPress 6.9.0 – 6.9.4
WordPress 7.0.0 – 7.0.1
【対策】
対策されたバージョンが公開されております。対象バージョンをご利用の場合は、バージョンアップを実施してください。
WordPress 6.9.5
WordPress 7.0.2
※WordPress の管理画面（ダッシュボード）からバージョンアップされているかどうかを確認し、バージョンアップされていない場合には、手動でのバージョンアップを検討してください。