WordPress本体に、ログインなしでサイトを乗っ取られるおそれ（CVE-2026-60137 / CVE-2026-63030）

何が起きたか

2026年7月17日、WordPress本体のバージョン6.8.6・6.9.5・7.0.2が公開され、2つの脆弱性が修正されました。開発元は深刻さを踏まえ、通常のサイトでも適用される「自動バックグラウンド更新」の仕組みを使って、この更新を強制的に配信したと報告されています。

1つ目は、「WP_Query」というWordPressの内部機能のパラメータ処理に起因するSQLインジェクションの不具合（CVE-2026-60137）です。土台にできた一つ目のひび割れ、とイメージすると分かりやすいでしょう。もう1つは、REST APIの「バッチ」機能に関する不具合（CVE-2026-63030）で、いわば土台のもう一箇所にできた二つ目のひび割れです。研究者はこの2つを組み合わせたことで、ログインなし・プラグインなし・特別な設定なしで、サーバー上で任意のコードを実行できる状態になると報告しています（この組み合わせは発見者により「wp2shell」と名付けられました）。2つのひび割れがつながることで、鍵も工事の許可も要らずに建物の奥まで入り込めてしまう、という状態です。CVE-2026-63030は、米国CISAが「悪用が確認された脆弱性」の一覧（KEVカタログ）に追加したと複数の媒体が報じています。

誰に関係するか

WordPress本体のバージョンが次のいずれかの範囲にあるサイトが対象です。

• 6.8.0 〜 6.8.5
• 6.9.0 〜 6.9.4
• 7.0.0 〜 7.0.1

特定のプラグインやテーマ、特別な設定は必要なく、初期設定のままのサイトでも対象になるとされています。土台そのものの問題なので、その上にどんな内装（プラグインやテーマ）を乗せていても関係なく影響してしまう、というのがこの脆弱性の特徴です。すでに6.8.6・6.9.5・7.0.2以降に更新されているサイトは対象外です。WordPress以外のCMS（EC-CUBE、Movable Typeなど）を使っているサイトには当てはまりません。

何をすべきか

1. 今のバージョンを確認する

WordPressの管理画面にログインし、「更新」ページでバージョンを確認します。自分で確認できない場合は、サイトの制作・管理会社に確認を依頼してください。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」も使えます。

2. 未更新なら今すぐ更新する

対象の版のままであれば、できるだけ早く6.8.6・6.9.5・7.0.2以降に更新してください。いわば、ひび割れた土台を補修する工事です。すでに自動更新が有効なサイトの多くは、公開から間もないうちに自動で更新されたと見られますが、自動更新を無効にしている・手動更新の運用をしているサイトは、意図せず取り残されている可能性があります。

3. 心当たりがなくても確認を

特別な操作をしていなくても対象になる脆弱性のため、「何もしていないから大丈夫」とは判断せず、一度バージョンを確認しておくことをおすすめします。

よくある質問

WordPressを使っていれば必ず影響がありますか？

影響があるのは、バージョンが6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1のいずれかの場合です。6.8.6・6.9.5・7.0.2以降であれば対象外です。

特別な設定やプラグインを使っていないと影響を受けませんか？

いいえ。本体だけで成立する問題のため、初期設定のままのサイトでも対象になり得ます。

何をすればいいですか？

バージョンを確認し、未更新であれば管理会社に依頼してすぐに最新版へ更新してもらってください。

参考にした公開情報

• WordPress公式：バージョン7.0.2のドキュメント（英語）
• InMotion Hosting：7.0.2セキュリティリリースの解説（英語）
• CISA：Known Exploited Vulnerabilities Catalog（英語）

CVE番号ごとのCVSS評価は、参照元によって数値が異なって報告されています。この記事では評価数値そのものではなく、組み合わせによる影響範囲と修正版の有無を基準に重要度を判断しました。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。