教員
職員
立命館CSIRTより情報セキュリティに関する注意喚起です。
Webサイトの作成・管理に使われるソフトウェア「WordPress」に認証不要でWebサイトへ
不正アクセスされる脆弱性（wp2shell）が公開されました。
影響を受けるバージョンを利用している場合、第三者による不正アクセスを受けるおそれがあります。
WordPressを利用しているWebサイトは、利用中のバージョンを確認し、該当する場合は速やかに最新版へ更新してください。
対象者
Webサイトを運用管理する情報システム設置者および情報システム運用管理者
注意喚起内容
WordPressに悪用されるおそれのある脆弱性（通称：wp2shell）が公開されました。
この脆弱性が悪用されると、ログインを必要とせず外部からWebサイトへ不正アクセスされるおそれがあります。
WebサイトにWordPressを利用している場合は、利用中のWordPress本体（WordPress Core）のバージョンを確認してください。
影響を受けるバージョンを利用している場合は、速やかに最新版へ更新してください。
影響を受けるバージョン（WordPress Coreのバージョン）
WordPress7.0.2より前のバージョン
WordPress6.9.5より前のバージョン
WordPress6.8.6より前のバージョン
影響を受けるバージョンを現在利用している場合、または過去に利用していた場合には、既に不正アクセスを受けている可能性があります。
ソフトウェアやプラグインの更新だけで対応完了と判断せず、侵害の有無も確認してください。
侵害有無の確認方法
1. 改ざんの確認
WordPressが提供する管理ツール「WP-CLI」を利用して、WordPress本体およびプラグインの改ざん有無を確認してください。
確認コマンド
wp core verify-checksums --include-root wp plugin verify-checksums --all
また、有償プラグインや独自開発プラグイン、独自テーマなど、上記コマンドで確認できないコンポーネントについては、
配布元の正規ファイルまたは正常なバックアップと比較し、改ざんの有無を確認してください。
2. 不審な設定やファイルの確認
次の項目を確認してください。
- WordPressおよびサーバーOS上に不審なアカウントが作成されていないか確認する
- 「wp-content/uploads」配下に不審なファイルが存在しないか確認する
- 「wp-content/plugins」配下に不審なファイルが存在しないか確認する
- 投稿、固定ページ、カスタムフィールドなどに不審なスクリプトやコンテンツが挿入されていないか確認する
- cronによる自動実行ジョブ、systemdサービス・timer、SSH公開鍵（.ssh/authorized_keys）などに不審な設定が追加されていないか確認する
3. ログの確認
サーバーおよびWordPressのアクセスログや認証ログを確認し、不審なアクセスがないか調査してください。
特に、次のURLへのアクセスが確認された場合は、本脆弱性を悪用した攻撃の可能性があります。
/wp-json/batch/v1?rest_route=/batch/v1
【重要】侵害の痕跡が確認された場合
侵害の痕跡が確認された場合は、速やかに次の対応を実施してください。
- Webサイトの公開を停止する
- 管理者パスワードを変更する
- RAINBOWサービスデスクへ連絡する
参考
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構