WordPress脆弱性13件、コアに認証不要RCE　「wp2shell」で早急な更新を【7月16日～7月22日】

こんにちは。GMOプライム・ストラテジーの相馬理紗です。

今回は、2026年7月16日～7月22日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

• 

  WordPress関連で13件の脆弱性が報告された

今回のポイント

• WordPress本体で認証不要のRCEにつながる重大な脆弱性
• SQLインジェクションとREST APIの脆弱性を組み合わせた「wp2shell」
• Loco TranslateでPHPコード実行
• Forminator Formsで認証不要のディレクトリトラバーサル
• 全13件中5件が未認証で攻撃可能

今すぐ対応すべき脆弱性

• WordPress：REST APIのRCE（CVE-2026-63030）
• WordPress：SQLインジェクション（CVE-2026-60137）
• Loco Translate：管理者を誘導してPHPコード実行
• Forminator Forms：認証不要のディレクトリトラバーサル
• ProfilePress：任意ファイルアップロード

今回危険だった攻撃パターン

WordPress本体だけで認証不要のRCEが成立する可能性

今回最も注意したいのは、WordPress本体で報告された2件の脆弱性です。

REST APIのバッチリクエスト処理の脆弱性と、WP_QueryのSQLインジェクションを組み合わせることで、認証されていない攻撃者が任意コードを実行できる可能性があります。

「wp2shell」として公開された検証情報は、プラグインを導入していない標準構成のWordPressでも攻撃可能とされています。

WordPress本体を利用しているすべてのサイトに影響するため、6.8.6、6.9.5、7.0.2以降への更新を最優先で実施したいところです。

プラグインでもコード実行や任意ファイル取得に注意

プラグインでも、サーバー侵害につながる深刻な脆弱性が報告されています。

Loco Translateでは、CSRF（クロスサイトリクエストフォージェリ）の脆弱性により、認証されていない攻撃者が管理者を不正なリンクのクリックなどに誘導することで、任意のPHPコードを実行できる可能性があります。

また、Forminator Formsでは、認証されていない攻撃者がディレクトリトラバーサルを悪用し、サーバー上の任意のファイルを読み取ることで、設定ファイルなどの機密情報を取得できる可能性があります。

いずれもサイト侵害の足掛かりとなるおそれがあるため、該当プラグインを利用している場合は、修正版への更新を優先するとともに、管理者アカウントの不審な操作やサーバーへのアクセスログに異常がないか確認することが重要です。

最近増えている傾向

WordPress本体の脆弱性が目立つ

今回はプラグインだけでなく、WordPress本体に2件の重大な脆弱性が報告されました。

通常、この連載ではプラグインが中心ですが、本体の脆弱性は利用者全体への影響が大きく、更新の優先順位も高くなります。

今回のように複数の脆弱性を組み合わせて攻撃が成立するケースもあるため、個々の脆弱性だけではなく攻撃チェーンとして捉えることが重要です。

複数の脆弱性が同じプラグインに集中

今回、KirkiとTutor LMSでは、それぞれ複数の脆弱性が報告されました。

Kirkiでは、認証されていない攻撃者が権限チェックの不備を悪用して権限外の操作を実行できる問題に加え、編集者以上の権限を持つユーザーによる任意ディレクトリ削除の脆弱性が確認されています。

Tutor LMSでは、購読者以上の権限を持つユーザーが権限外のアクションを実行できる問題に加え、REST API経由で保存されたクイズ回答データを悪用し、データベースから機密情報を取得できる可能性が報告されました。

同じプラグインで複数の脆弱性が報告された場合は、一部の問題だけを個別に回避するのではなく、修正版への更新を速やかに実施することが重要です。

WordPress運用の落とし穴

投稿者や寄稿者権限でも危険な操作が可能

今回報告された脆弱性の中には、管理者権限を必要とせず、投稿者や寄稿者など比較的低い権限を持つユーザーによって悪用できるものも含まれています。

Paid Membership Plugin（ProfilePress）では、投稿者以上の権限を持つユーザーが実行可能ファイルをアップロードし、サーバー上で任意のコードを実行できる可能性があります。

また、HubSpot All-In-One Marketingでは、寄稿者以上の権限を持つユーザーがHubSpot OAuthのリフレッシュトークンを取得し、HubSpotテナントのデータへアクセス・変更できる可能性が報告されました。

Tutor LMSでも、カスタムロール以上の権限を持つユーザーが、REST API経由で保存されたクイズ回答データを悪用し、データベースから機密情報を取得できる可能性があります。

ログインが必要な脆弱性であっても、比較的低い権限から悪用できるケースは少なくありません。不要なユーザーアカウントや投稿権限を見直すとともに、利用中のプラグインを最新バージョンへ更新することが重要です。

外部連携や機密情報の管理も確認したい

HubSpot All-In-One Marketingでは、寄稿者以上の権限を持つユーザーが、サーバ側で復号されたHubSpot OAuthのリフレッシュトークンを取得し、HubSpotテナントのデータへアクセス・変更できる可能性が報告されました。

また、Forminator Formsでは、認証されていない攻撃者がディレクトリトラバーサルを悪用し、サーバ上の任意のファイルを読み取ることで、設定ファイルなどの機密情報を取得できる可能性があります。

CRMやマーケティングツールなどの外部サービスと連携するプラグインでは、WordPressサイトだけでなく、連携先のアカウントや認証情報にも影響が及ぶ可能性があります。また、サーバ上の設定ファイルが漏えいすると、データベース接続情報など重要な情報が流出するおそれもあります。

利用していない外部連携は解除するとともに、連携アカウントや認証トークンに不審な変更がないか確認し、サーバ上の重要なファイルへのアクセスログについても点検しておきたいところです。

7月16日～7月22日に報告があった主な脆弱性一覧

深刻度が高い脆弱性：5件

プラグイン	対象バージョン	修正バージョン	内容	詳細
WordPress	6.9～6.9.4、7.0～7.0.1	6.9.5、7.0.2	REST APIのRCE	[①]
WordPress	6.8～6.8.5、6.9～6.9.4、7.0～7.0.1	6.8.6、6.9.5、7.0.2	SQLインジェクション	[②]
Loco Translate	～2.8.5	2.8.6	任意PHPコード実行	[③]
Forminator Forms	～1.55.0.2	1.55.1	ディレクトリトラバーサル	[④]
Paid Membership Plugin（ProfilePress）	～4.16.18	4.16.19	任意ファイルアップロード・RCE	[⑤]

① 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/1ba55302-b38f-4932-bbba-cdd517380ad7

② 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/bd087d06-5395-4dfd-a288-2c3271a62842

③ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/241d7a82-5fa5-40e3-9336-823644ca17f0

④ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/355d6e61-a45b-4682-bfad-77df18ae79f4

⑤ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/9bb520df-e838-4335-bd4f-97026082a204

他の脆弱性：8件

プラグイン	対象バージョン	内容	詳細
Kirki	～6.0.13	任意ディレクトリ削除	[⑥]
Ultimate Addons for Elementor	～2.9.1	保存型XSS	[⑦]
Tutor LMS	～3.9.13	権限外のアクション実行	[⑧]
WPForms	～2.0.0.1	保存型XSS	[⑨]
HubSpot All-In-One Marketing	～11.3.62	OAuthトークンの漏えい	[⑩]
Kirki	～6.0.13	権限外のアクション実行	[⑪]
Tutor LMS	～4.0.0	機密情報の取得	[⑫]
GiveWP	～4.16.3	保存型XSS	[⑬]

⑥ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/01a52285-2d0c-4b29-8dab-18a3e3640e5c

⑦ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/39f26d35-a702-49fc-aed1-0a329ac32553

⑧ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/601ac722-a2d4-4dce-9cde-dd3f4c15416a

⑨ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/6d5264a1-dabf-4630-9871-ab6e14817768

⑩ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/718d7ea3-d8ba-46a0-9ab1-72657bd82c17

⑪ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/7ff92bf8-371e-4d47-881c-a0f9eadc5061

⑫ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/8cd603aa-c4d4-488c-b134-6983240c3a18

⑬ 詳細: https://www.wordfence.com/threat-intel/vulnerabilities/id/bdd0ba4b-56f1-4f4b-95f7-28c911c8de09

総括

7月16日～7月22日に報告があった脆弱性では、WordPress本体に認証不要のリモートコード実行（RCE）につながる2件の重大な脆弱性が報告されたことが最大のトピックとなりました。

特に、REST APIのバッチリクエスト処理に関する脆弱性（CVE-2026-63030）と、WP_QueryにおけるSQLインジェクション（CVE-2026-60137）は、組み合わせることで認証前のリモートコード実行を可能にする「wp2shell」として公開された検証情報では、プラグインを導入していない標準構成のWordPressでも攻撃可能とされています。

プラグインでは、Loco Translateで管理者を誘導することによる任意のPHPコード実行、Forminator Formsで認証不要の任意ファイル読み取り、Paid Membership Plugin（ProfilePress）で投稿者以上の権限からの任意ファイルアップロードとリモートコード実行など、サーバー侵害につながる脆弱性が報告されました。また、KirkiとTutor LMSでは複数の脆弱性が確認され、HubSpot All-In-One Marketingでは外部サービスの認証情報に影響する問題も報告されています。

WordPress本体や該当プラグインを利用している場合は、修正版への更新を速やかに実施するとともに、REST APIへの不審なアクセス、アップロードされたファイル、外部サービスとの連携設定、不要なユーザーアカウントや権限などを合わせて確認することが重要です。