WordPressの重大な脆弱性（wp2shell）に関する重要なお知らせ・ご対応のお願い
このたび、WordPress本体において、認証を必要とせず遠隔から任意のコードを実行される重大な脆弱性（CVE-2026-60137、CVE-2026-63030／通称「wp2shell」）が公表されました。
すでに実証コードが公開されており、実際の悪用も確認されています。
Welcartをご利用の皆様におかれましては、ご利用のWordPressのバージョンをご確認のうえ、至急ご対応いただきますようお願いいたします。
※本件はWelcart固有の脆弱性ではなく、WordPress本体に関するものです。
脆弱性の概要
WordPressに、SQLインジェクションの脆弱性（CVE-2026-60137）とREST APIのバッチルート処理に関する脆弱性（CVE-2026-63030）が確認され、両脆弱性はすでに修正されています。
しかし、修正版が公開される前の対象バージョンをそのままご利用の場合、脆弱性は解消されていません。
標準的な構成において、この2つを組み合わせることで、管理者権限などの認証を経ずに遠隔から任意のコードを実行される可能性があります（この攻撃手法が「wp2shell」と呼ばれています）。
影響を受けるバージョン
- WordPress 7.0.0 〜 7.0.1
- WordPress 6.9.0 〜 6.9.4
- WordPress 6.8.0 〜 6.8.5
※6.8系はCVE-2026-60137（SQLインジェクション）の影響を受けますが、「wp2shell」による遠隔コード実行の組み合わせは成立しません。ただし修正の適用は必要です。
※WordPress 6.8より前のバージョンは、本脆弱性の影響を受けません。
現在ご利用中のバージョンは、WordPress管理画面の「ダッシュボード」→「更新」からご確認いただけます。
なお、WordPress.orgでは対象バージョンに対して自動更新による強制更新を有効化しています。
すでに下記の修正版以上になっている場合は、対応完了となります。
アップデートのお願い
ご利用中のバージョン系に応じて、以下の修正版以上へ更新してください。
| ご利用中のバージョン系 | 更新先 |
|---|---|
| 7.0系 | 7.0.3 以上 |
| 6.9系 | 6.9.5 以上 |
| 6.8系 | 6.8.6 以上 |
※7.0系へのメジャーアップグレードは今回の対応にあたって必須ではありません。同一バージョン系内のセキュリティリリースへの更新であれば、表示崩れやEC機能への影響は限定的です。
※アップデート前には、念のためバックアップの取得をお願いいたします。
▼すぐに更新できない場合の暫定的な緩和策
WAF等をご利用の場合は、下記2つのURL形式へのアクセスを遮断することで、攻撃をある程度緩和できます。
/wp-json/batch/v1?rest_route=/batch/v1
この緩和策はあくまで一時的な対応です。
恒久的な対策としては、更新版への変更を早めにお済ませください。
▼保守・運用でお困りの場合は
WordPressやプラグインの更新、更新後に生じる不具合の対応にご不安がある場合は、保守込みでWelcart環境を運用できる「Welcartクラウド」というサービスもございます。
WordPress・プラグイン・PHPの更新に加え、更新後に不具合が生じた際の修正までエンジニアが対応する仕組みです。
運用体制についてお困りの場合は、下記より詳細をご確認ください。
更新時の不具合まで対応！保守付きパッケージ Welcartクラウド
改ざん・不正アクセスの有無のご確認（重要）
修正版が公開されたのは2026年7月17日ですが、その直後から実証コードが拡散し、実際に悪用された例も報告されています。
そのため、更新前の時点で既に侵入されていた場合、更新後もバックドアなどが残ってしまう可能性があります。
すでに更新を済ませた場合でも、念のため以下の点をご確認ください。
- 見覚えのない管理者ユーザーが作成されていないか
- 更新の前後で、見慣れないPHPファイルが追加されていないか
- 購入・決済ページのHTMLやJavaScriptに、意図しない変更が加えられていないか
- アクセスログに、/wp-json/batch/v1 や ?rest_route=/batch/v1 への不審なPOSTリクエストが記録されていないか
補足
今回ご案内している内容は、WordPress本体の脆弱性に関するものであり、Welcart固有の問題を指すものではありません。
Welcartユーザー様に向けて、安全にサービスをご利用いただくための注意喚起としてお送りしています。
参考
- 独立行政法人情報処理推進機構（IPA）
WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）
本件に関するお問い合わせ先
Welcartサポート窓口
「上記以外のお問い合わせはこちら」からお問い合わせください。
PAGE TOP