いろんなニュースをチェックしてたら、エックスサーバーの「WordPressの脆弱性に関するお知らせ」というページに行き当たりました。タイトルを見ただけで一瞬固まりました。「認証やログインを必要とせず、第三者による任意のコード実行が可能」というのは、さすがに聞き流せない言葉です。今回は、その記事を見てから自分のサイトが対象かどうかを実際に確認するまでの記録です。
お知らせの中身
中身は衝撃的でした。内容を整理すると、WordPressコアに「wp2shell」(CVE-2026-63030)という脆弱性が見つかったとのこと。対象バージョンは6.9.0〜6.9.4、7.0.0〜7.0.1、それと関連するSQL脆弱性として6.8.0〜6.8.5。該当するバージョンだと、ログインすら不要で第三者に任意のコードを実行されてしまう可能性があるそうです。
エックスサーバー側でもサーバーレベルで暫定対応をしていて、REST APIのバッチ処理エンドポイント(/wp-json/batch/v1)への通信を遮断済み。ただしこれはあくまで一時しのぎで、根本対応は各サイト側でのアップデートが必須、という内容でした。
まず自分のサイトのバージョンを確認
慌てても仕方ないので、まずは自分のサイトの状況を淡々と確認していきます。WP-CLIでバージョンを見ると、
wp core version結果はセーフでした。7.1が返ってきました。対象範囲(6.9.0〜6.9.4、7.0.0〜7.0.1、6.8.0〜6.8.5)のどれにも当てはまらない、最新バージョンです。ひとまず今回のケースでは対象外と判断できました。
念のため自動更新の設定も確認
バージョンが今大丈夫でも、次に似たような脆弱性が出たときに放置してしまっては意味がありません。自動更新が有効になっているかも合わせて確認しました。
wp option get auto_update_core_major
wp option get auto_update_core_minor結果は良好でした。どちらもenabled。メジャー・マイナーどちらのアップデートも自動で追従する設定になっていたので、今回のような修正版が出た場合も、次に似たケースが来ても取りこぼしにくい状態でした。
導入プラグインへの影響もチェック
念には念を。お知らせには「バッチ処理機能を利用するプラグインやテーマは一時的に機能しなくなる可能性がある」ともあったので、念のため導入プラグインも見ておきます。
wp plugin listこちらも無傷でした。Classic Editor、Contact Form 7、SiteGuardの3つだけで、いずれもREST APIのバッチ処理には依存していないプラグインでした。今回の遮断措置による実害もなし、というところまで確認できました。
確認して分かったこと
今回は幸い対象外でしたが、確認して初めて「対象外」と言い切れたわけで、確認するまでは正直ヒヤヒヤしていました。バージョンを把握していない、あるいは自動更新を切ったままにしているサイトだと、こういうお知らせを見かけても「たぶん大丈夫だろう」で済ませてしまいがちだと思います。
教訓はシンプルです。WordPressは世界的にシェアが大きい分、こういう脆弱性のニュースが定期的に出てきます。自分のサイトが今どのバージョンで、自動更新がどうなっているか。この2点は、wp core versionと管理画面のダッシュボードだけですぐ確認できるので、こういうニュースを見かけたときは一度手を止めて見てみるのをおすすめします。
この記事が参考になったら、応援クリックをお願いします
