WordPressコアに認証不要のRCE脆弱性（wp2shell）

【なぜ重要か】 2026年7月17日、WordPressはコアに存在する認証不要のリモートコード実行（RCE）脆弱性を修正する緊急セキュリティアップデートをリリースした。プラグインなしの標準インストール環境でも匿名の攻撃者によって悪用可能であり、WordPressを利用するサイトは5億件以上と推定されることから、影響範囲が極めて広い。WordPress.orgは深刻度の高さを理由に、影響を受けるサイトへの強制自動更新を有効化している。

【ポイント】

• 脆弱性の仕組み: REST APIのバッチルート（/wp-json/batch/v1）を起点とするルート混同とSQLインジェクションを組み合わせることで、リモートコード実行に連鎖する
• 影響バージョン: WordPress 6.9.0〜6.9.4（修正版: 6.9.5）、7.0.0〜7.0.1（修正版: 7.0.2）、7.1ベータ（修正版: 7.1 beta2）。6.8系には別のSQLインジェクション問題があり修正版は6.8.6。6.8より前のバージョンはいずれの問題にも影響を受けない
• 推奨対応: 直ちに7.0.2（6.9系の場合は6.9.5）へアップデートする。即時アップデートが困難な場合の暫定措置として、REST APIへの未認証アクセスをブロックするプラグインの導入、WAFでの当該パスのブロック、またはバッチルートに認証を要求するmust-useプラグインの追加があるが、いずれも正当なREST APIトラフィックに影響を与える可能性があるため、あくまで短期的な措置として扱うべき
• ランタイム保護: Aikido Zenはアプリケーション内部に組み込まれるファイアウォールであり、ユーザー入力がデータベースへ到達する前にSQLインジェクションをリアルタイムでブロックする。パッチ適用までの間、未パッチ環境の防衛線として機能する
• 脆弱性トラッキング: Aikido Intelはオープンソースエコシステムの新リリースをリアルタイムで監視し、CVEデータベースへの公開より早く脆弱性情報を提供する。intel.aikido.devで無料公開されており、商用APIも利用可能

【まとめ】 WordPressコアに認証不要のRCEという極めて深刻な脆弱性が発見された。直ちに対象バージョンへのアップデートを実施することが最優先であり、即時対応が難しい環境ではWAFやAikido Zenによるランタイム防御を暫定措置として組み合わせることが推奨される。