WordPress 緊急脆弱性 wp2shell

あなたの WordPress は
影響を受けますか？

URL を入力するだけで、お使いの WordPress が wp2shell（CVE-2026-60137 / CVE-2026-63030）の影響を受けるバージョンかどうかを外形からチェックします。登録不要・無料です。

ご自身が管理するサイトの URL を入力してください。取得するのは公開ページの情報のみで、攻撃は一切行いません。

wp2shell とは

WordPress コアの 2 つの脆弱性（CVE-2026-60137 の SQL インジェクションと CVE-2026-63030 の REST API バッチ処理の不備）を組み合わせた攻撃です。標準構成のサイトに対し、管理者権限も認証もなしにリモートからコードを実行される恐れがあります。影響を受けるのは 6.9.0〜6.9.4 と 7.0.0〜7.0.1、SQL インジェクション単体では 6.8.0〜6.8.5 です。

わかること・わからないこと

公開ページから読み取れるコアのバージョンをもとに判定します。バージョンを隠しているサイトでは判定できないことがあり、その場合に「安全」と表示することはありません。実際に侵害されているかどうかの調査は、外形からはできません。

対策

根本的な対策は WordPress を 7.0.2 / 6.9.5 / 6.8.6 以降へ更新することです。すぐに更新できない場合の緊急緩和策として、REST API のバッチエンドポイント（/wp-json/batch/v1）を WAF 等で遮断する方法が公表されています。