2026年7月17日、認証なしでリモートコード実行を可能にする脆弱(ぜいじゃく)性を修正したWordPressバージョン7.0.2がリリースされました。この脆弱性が実際に悪用された例があるとして、速やかなアップデートが推奨されています。

WordPress 7.0.2 Release - WordPress News

https://wordpress.org/news/2026/07/wordpress-7-0-2-release/



Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25 › Searchlight Cyber

https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/

AI helped uncover WordPress ‘wp2shell’ RCE now exploited in attacks | CyberInsider

https://cyberinsider.com/ai-helped-uncover-wordpress-wp2shell-rce-now-exploited-in-attacks/

今回の攻撃チェーン「wp2shell」は、サイバーセキュリティ企業Searchlight Cyberのアダム・キューズ氏がOpenAIのAIモデル「GPT-5.6 Sol Ultra」を使用して発見しました。

この脆弱性を悪用する攻撃者は、一時的に管理者の身元を偽装し、元のRESTリクエストを管理者権限で再実行し、新しい管理者アカウントを作成して悪意のあるプラグインをアップロードしてコードを実行することができました。

wp2shellは2つの脆弱性を組み合わせています。1つ目はCVE-2026-63030で、不正なリクエストによってWordPressがサブリクエストを誤ったハンドラーに対して検証し、別のハンドラーを使用して実行してしまう可能性があり、バッチ処理とルート処理の混同によってWordPressの検証機能が回避されてしまうものです。2つ目はCVE-2026-60137で、適切なサニタイズ処理が行われないことでSQLインジェクションを可能にするものです。



キューズ氏によると、この脆弱性はWordPressのデフォルト設定で悪用が可能なもので、GPT-5.6 Sol Ultraによって脆弱性の特定と攻撃手法の開発まで実行できてしまったとのこと。キューズ氏は「GPT-5.6 Sol Ultraは4時間かけてSQLインジェクションからリモートコード実行に至るまでの攻撃チェーンを書いたが、私がそれを理解するのにははるかに長い時間がかかった」と報告しています。キューズ氏は間もなくこの問題をWordPressチームに共有しました。

WordPress.orgは影響を受けるバージョンを使用しているサイトに対して自動アップデートシステムによる強制アップデートを有効にし、修正版に強制的にアップデートを行っています。

セキュリティ企業のPatchstackによると、攻撃者がwp2shellを悪用した事例を観測したとのことです。