［2026年7月度　脆弱性起因　攻撃検知速報］（CVE-2026-63030 / CVE-2026-60137）

公開日：2026年8月4日

脅威インテリジェンスグループ セキュリティエンジニア

八巻 祐斗

グローバルセキュリティメーカーの株式会社サイバーセキュリティクラウド（本社：東京都品川区、代表取締役社長 兼 CEO：小池敏弘、以下「当社」）は、2026年7月17日（日本時間7月18日）に修正版が公開された WordPress コアの脆弱性チェーン「wp2shell」（CVE-2026-63030 / CVE-2026-60137）について、公表後に観測された攻撃検知データを集計し、脆弱性の技術的構造とあわせて分析した『攻撃検知速報』を発表します。修正版公開当日、当社が観測した batch エンドポイント宛の通信は前日の17件から4,704件へ、約277倍に急増し、以降9日間で累計約195万件を検知しました。本レポートでは、この急増の実測データと、脆弱性を評価したCVSSスコアが評価機関ごとに大きく割れていた点について、当社の観測にもとづいて分析します。

 

≪レポートサマリー≫

• 2026年7月18日（wp2shell 公表当日）から7月26日までの9日間で、batch エンドポイント宛の通信を累計 1,950,165 件検知しました。
• 公表当日の検知数は 4,704 件で、前日（17件）比で約 277 倍に急増。9日間の1日平均は約 21.7万件に達しました。
• 攻撃発信元は米国が全体の 30.9% を占める一方、日本を含む複数国では多数IPが分散的に接続する傾向が確認され、送信元ベースの防御だけでは対応が追いつかない可能性が示唆されます。
• チェーンの中核をなす CVE-2026-60137 は、CNA（WPScan）により 5.9（MEDIUM）と評価される一方、CISA-ADP は 9.1（CRITICAL）と評価しており、権威ある評価機関の間で深刻度評価が大きく割れています。

 

■ 検知数の推移

対象：batch エンドポイント宛の通信のうち wp2shell の悪用を示唆するリクエスト
期間：日次推移は 2026/07/01〜07/26。送信元IPの分析は公表後の 2026/07/18〜07/23 に限定します。
単位：ログ1行を1リクエストとして計数。攻撃の成否は問わず、到達した試行を対象とします。

公表前の 7/1〜7/17 は、1 日あたり中央値 7 件、平均 22.2 件にとどまり、17 日間の合計でも 378 件でした。
ところが修正版が公開された 7/18 当日には 4,704 件を検知し、前日（17件）比で約 277 倍の急増となりました。以降も高い水準で推移し、7/26 には期間最大の 576,756 件を記録、7/18〜7/26 の 9 日間で累計 1,950,165 件、1 日平均約 21.7万件に達しています。

 

■ 攻撃発信元の傾向

国別に見ると、総アクセス件数と固有IP数は異なる傾向を示します。

表1: 国・地域別のアクセス件数と固有 IP 数（2026年7月18日〜7月23日）
国	総件数	構成比	固有 IP 数	1 IP あたりの 平均アクセス件数
アメリカ	225,742	30.93%	948	238.1
ドイツ	96,720	13.25%	277	349.2
日本	68,771	9.42%	984	69.9
リトアニア	53,794	7.37%	13	4,138.0
シンガポール	48,520	6.65%	467	103.9
インドネシア	46,061	6.31%	171	269.4
オランダ	32,179	4.41%	367	87.7
スイス	30,433	4.17%	93	327.2
イタリア	17,060	2.34%	93	183.4
香港	16,731	2.29%	74	226.1
フランス	9,201	1.26%	141	65.3
ロシア	8,183	1.12%	7	1,169.0
イギリス	3,352	0.46%	97	34.6
その他64か国・地域	73,065	10.01%	561	130.2

※「総件数」は到達した試行の件数、「固有IP数」はIP情報データベースと突合できたユニークIPの数を指します（突合率 約95%）。

総アクセス件数では米国が 225,742 件で全体の 30.9% を占め突出しており、以下ドイツ 13.3%、日本 9.4%、リトアニア 7.4% と続きます。上位10か国・地域で全体の 87.1% に達しており、件数そのものは限られた国に集中していると言えます。

一方、1IPあたりの平均件数に着目すると構図が変わります。リトアニアはわずか 13 IP で 53,794 件（1IPあたり 4,138 件）、ロシアは 7 IP で 8,183 件（1IPあたり 1,169 件）と、少数のホストへの集中が見られます。これに対し日本は 984 IP で 68,771 件（1IPあたり 69.9 件）にとどまり、多数のIPが少量ずつ接続する分布となっています。

リトアニアやロシアのように少数ホストへの集中が見られる場合、送信元を特定した遮断が一時的には機能すると考えられます。他方で日本のように多数のIPが分散的に接続する場合、遮断リストの更新が追いつかない可能性があり、送信元に依拠した防御だけでは対応しきれず、リクエスト内容に基づく判定の仕組みが必要になることが示唆されます。

 

■ 異常検知分析

修正版が公開されたのは日本時間で7月18日であり、公開PoCによる攻撃が観測され始めたのも公表当日でした。前日 17 件から 4,704 件への急増は、PoC公開後、短時間で自動化されたスキャン・攻撃ツールが展開された可能性を示唆しています。

また、日本は7月18日〜7月20日の三連休にあたり、攻撃はその期間中に本格化しました。緊急対応の体制が特定の曜日や時間帯に依存していないか、運用体制の点検が必要な事象であったと考えられます。

 

■ スコアでは測りにくい点

チェーンの中核であり実際にデータ抽出を担う CVE-2026-60137 は、公表時点で CNA（WPScan）により 5.9（MEDIUM）と評価されていました。6.8系は CVE-2026-63030 の影響を受けず CVE-2026-60137 単独の影響下にあるため、CVSSを起点とした優先度付けでは対応が後回しにされ得る状況でした。

なお、CISA-ADP は同CVEを 9.1（CRITICAL）と評価しており、同一の脆弱性に対して権威ある評価機関の間で 3.2ポイント・深刻度2段階の幅の乖離が生じています。単一スコアを起点としたトリアージの限界を示す事例と考えられます。

 

■ wp2shellについて（脆弱性の技術的背景）

2026年7月17日（日本時間7月18日）、WordPress コアに認証不要のリモートコード実行（pre-auth RCE）につながる脆弱性が公表されました。攻撃チェーン全体は発見元の Searchlight Cyber 社により「wp2shell」と名付けられています。
CVE-2026-63030 は Adam Kues 氏（Assetnote / Searchlight Cyber）、CVE-2026-60137 は TF1T 氏、dtro 氏、haongo 氏によって、それぞれ報告されました。

REST batch エンドポイントのルート混同（CVE-2026-63030）
/wp-json/batch/v1 は、複数の REST サブリクエストを 1 回の HTTP にまとめて処理する仕組みです。内部では検証（validation）と実行（dispatch）を別のループで回しており、サブリクエストのパス解決を担う関数（wp_parse_url()）が失敗した場合、そのエラーは検証側の配列にのみ積まれ、実行側の配列には反映されません。この非対称により、サブリクエストが本来とは別のハンドラでディスパッチされ、WP_Query の脆弱なコードパスを守っていた認証ブロックリストが迂回される可能性があります。

 

author__not_in の SQL インジェクション（CVE-2026-60137）
WP_Query の author__not_in パラメータは配列を受け取る前提で実装されており、検証ロジックは配列であるかを確認してからサニタイズに入ります。配列ではなく文字列を渡した場合、この型チェックが丸ごとスキップされ、攻撃者の制御下にある値が SQL クエリへ直接補間されます。情報漏えいにとどまる点が特徴です。

 

攻撃チェーンの流れ

この 2 つのセキュリティホールを使用して、次の流れで攻撃者が攻撃をするシナリオが想定されます。本ケースでは、機密情報として、管理者のパスワードハッシュ等の認証情報を抽出した場合を想定します。

• 未認証リクエスト
• CVE-2026-63030：/wp-json/batch/v1 のルート混同で権限チェックを迂回
• CVE-2026-60137：author__not_in の SQLi が発火し、機密情報（管理者のパスワードハッシュ等）を抽出
• 抽出した認証情報のオフライン解析等を経て管理権限を取得
• 悪意あるプラグイン／Web シェルのアップロード
• サーバー上での任意コード実行、という流れが想定されます。

表2: wp2shell を構成する脆弱性の影響範囲と修正バージョン
ブランチ	影響バージョン	CVE-2026-63030	CVE-2026-60137	wp2shell	修正バージョン
7.0.x	7.0.0 – 7.0.1	成立	成立	成立	7.0.2
6.9.x	6.9.0 – 6.9.4	成立	成立	成立	6.9.5
6.8.x	6.8.0 – 6.8.5	不成立	条件付きで成立	不成立	6.8.6
6.7 以前	—	不成立	不成立	不成立	—

※ 6.8.x は CVE-2026-63030 の影響を受けないため wp2shell（RCEチェーン）としては不成立ですが、CVE-2026-60137（SQLインジェクション単体）の影響は受けるため、6.8.6 への更新が必要です。

 

■ 推奨する対応

本脆弱性チェーンは未認証・デフォルト構成でも成立するため、対象となるWordPressを利用している場合は以下の対応を優先的にご検討ください。
バージョン確認とアップデート：7.0.0 〜 7.0.1 は 7.0.2 へ、6.9.0 〜 6.9.4 は 6.9.5 へ、6.8.0 〜 6.8.5 は 6.8.6 へ、それぞれ速やかに更新してください。
自動更新の適用確認：WordPress.org は本件について強制自動更新を有効化していますが、実際に適用されたかを個別に確認してください。
即時アップデートが困難な場合の暫定対応：/wp-json/batch/v1 への未認証アクセスをWAF ・ Web サーバー設定等で制限してください。
侵害有無の確認：不審な管理者アカウントの作成、見覚えのないプラグイン、Webシェルとみられるファイルの有無をログ・ファイルシステムの両面から確認してください。
ログの保全：batch エンドポイント宛のアクセスログを保全し、必要に応じて調査に利用できる状態にしてください。
侵害が疑われる場合は、専門家へのご相談をご検討ください。

 

■ 参考情報

1. WordPress 7.0.2 Release. WordPress.org 公式、2026年7月17日
2. GHSA-ff9f-jf42-662q（REST batch route confusion）. GitHub Security Advisory.
3. GHSA-fpp7-x2x2-2mjf（SQL Injection in author__not_in）. GitHub Security Advisory.
4. CISA Known Exploited Vulnerabilities Catalog（CVE-2026-63030 / CVE-2026-60137）. CISA、2026年7月21日 収載.
5. CVE-2026-63030: wp2shell a Critical Remote Code Execution Vulnerability in WordPress Core. Rapid7 Blog.
6. WordPress Exploitation Underway CVE-2026-63030. SANS Internet Storm Center.
7. 弊社注意喚起. 株式会社サイバーセキュリティクラウド、2026年7月21日.

 

■ 更新履歴

2026年8月4日：新規公開

 

株式会社サイバーセキュリティクラウド（https://www.cscloud.co.jp）

所在地　：〒141-0021　東京都品川区上大崎3-1-1 JR東急目黒ビル13階
代表者　：代表取締役社長 兼 CEO 小池 敏弘
設　立　：2010年8月
「世界中の人々が安心安全に使えるサイバー空間を創造する」をミッションに掲げ、世界有数のサイバー脅威インテリジェンスを駆使したWebアプリケーションのセキュリティサービスを軸に、脆弱性情報収集・管理ツールやクラウド環境のフルマネージドセキュリティサービスを提供している日本発のセキュリティメーカーです。私たちはサイバーセキュリティにおけるグローバルカンパニーの1つとして、サイバーセキュリティに関する社会課題を解決し、社会への付加価値提供に貢献してまいります。

 

【免責事項】

本情報は、公開情報および当社調査に基づき、情報提供を目的として作成したものです。内容については可能な限り正確性の確保に努めておりますが、その完全性を保証するものではなく、今後の状況により変更となる場合があります。対応にあたっては、各公式情報等もあわせてご確認の上、ご判断ください。