Club Vogue-ｸﾗﾌﾞｳﾞｫｰｸﾞ-/宮城県/ﾃﾞﾘﾍﾙの求人

宮城県/ﾃﾞﾘﾍﾙ
■Club Vogue-ｸﾗﾌﾞｳﾞｫｰｸﾞ-

『ｳﾞｫｰｸﾞ店長』のﾌﾞﾛｸﾞ

ﾜｰﾄﾞﾌﾟﾚｽ脆弱性

[2026.07.30(木)15:17:16]

昨日も､多数のお客様にｸﾗﾌﾞｳﾞｫｰｸﾞをご利用いただき､本当に有難うございましたm(_ _)m

お店のｵﾌｨｼｬﾙｻｲﾄでﾜｰﾄﾞﾌﾟﾚｽを使っているのですが､どうやらﾜｰﾄﾞﾌﾟﾚｽの脆弱性が公開されたみたいです｡

実は昨日､ｵﾌｨｼｬﾙｻｲﾄの管理画面が異常に重くなり､ﾌﾟﾗｸﾞｲﾝを削除したり､いろいろ作業をしたんよな｡

ﾌﾟﾗｸﾞｲﾝを新しいのに変えたりして対策をした後に､ｻｰﾊﾞｰ会社からﾜｰﾄﾞﾌﾟﾚｽの脆弱性が公開されたので､いろいろ注意してくださいというﾒｰﾙが届きました｡

先月ぐらいから､ｵﾌｨｼｬﾙｻｲﾄのｱｸｾｽ数が異常に増えて､原因を調べたら中国からのｱｸｾｽがめちゃくちゃあったんよな｡

これは気持ち悪いと思い､中国からのｱｸｾｽができなくなるように新しいﾌﾟﾗｸﾞｲﾝを使うようにしたんやけど､どうもこのﾌﾟﾗｸﾞｲﾝが店のｻｲﾄとの相性が悪いみたいで､昨日の様に管理画面がめちゃくちゃ重たくなったんやと思っていました｡

ﾌﾟﾗｸﾞｲﾝとの相性もあったんかも知れないけど､昨日に分かったﾜｰﾄﾞﾌﾟﾚｽの脆弱性を狙った攻撃を受けていたのかも知れません｡

違うﾌﾟﾗｸﾞｲﾝに変えてからは､管理画面が重くなるやｻｲﾄが重くなる症状は出てないので､しばらく様子を見てみようと思います｡

会社やお店のｻｲﾄや個人の人のﾌﾞﾛｸﾞなどで､ﾜｰﾄﾞﾌﾟﾚｽは多くの人が使っていると思うので､早めにこの脆弱性の対応や海外からのｱｸｾｽをできなくするなどの対策をした方が良いかと思います｡

ここに俺が使っているﾌﾟﾗｸﾞｲﾝを書きたいとも思うんやけど､どんなﾌﾟﾗｸﾞｲﾝを使っているかをｻｲﾄ上に載せるのはちょっとﾘｽｸがあると思うので書きませんが､ﾌﾟﾗｸﾞｲﾝの名前は英語表記ですが､設定の仕方などの中身は日本語表記なんで､Googleで検索してもらえば出てくると思います｡

検索順も結構後ろの方になります｡

最初の方には､前に使っていて相性の悪かた（IP2Location Country Blocker）が出てくると思うので､それとは違うやつになります｡

下記が脆弱性の概要になります｡

■脆弱性の概要
　【WordPress Core】
　･CVE-2026-63030（REST API Batch Route Confusion）
　･CVE-2026-60137（WP_Query author__not_in SQL Injection）
　これら2件を組み合わせた攻撃ﾁｪｰﾝは｢wp2shell｣と呼ばれています｡
　本脆弱性が悪用された場合､認証を行わずにﾘﾓｰﾄからｺｰﾄﾞが実行され､Webｻｲﾄの改ざん､
　Webｼｪﾙ設置､管理者権限の取得､情報漏えい等につながる可能性があります｡
　また､公開PoCが存在しており､実際の悪用も確認されています｡

■影響を受ける可能性のあるﾊﾞｰｼﾞｮﾝ
　【wp2shell（認証不要RCE）】
　･WordPress 6.9.0 〜 6.9.4
　･WordPress 7.0.0 〜 7.0.1
　【SQLｲﾝｼﾞｪｸｼｮﾝのみ】
　･WordPress 6.8.0 〜 6.8.5

■対策方法
　以下の修正版へのｱｯﾌﾟﾃﾞｰﾄを実施してください｡
　･WordPress 6.8.6
　･WordPress 6.9.5
　･WordPress 7.0.2

　･WordPress管理画面より､WordPress本体を最新ﾊﾞｰｼﾞｮﾝへｱｯﾌﾟﾃﾞｰﾄしてください｡
　･WordPress 7.0をご利用いただく場合､PHP 7.4以上が必要となります｡
　･PHP 5.6をご利用中の場合は､ｺﾝﾄﾛｰﾙﾊﾟﾈﾙよりPHPﾊﾞｰｼﾞｮﾝを7.4以上へ変更したうえでWordPressをｱｯﾌﾟﾃﾞｰﾄしてください｡
　･PHPﾊﾞｰｼﾞｮﾝ変更後は､ご利用中のﾃｰﾏおよびﾌﾟﾗｸﾞｲﾝの互換性をご確認ください｡

■注意事項
　･認証不要で攻撃が可能です｡
　･公開PoCおよび実際の悪用が確認されています｡
　･WordPress専用ｻｰﾊﾞｰをご利用のお客様は､WordPressのﾊﾞｰｼﾞｮﾝだけでなく､PHPﾊﾞｰｼﾞｮﾝについても併せてご確認ください｡
　･PHP 5.6などの旧ﾊﾞｰｼﾞｮﾝをご利用の場合､WordPress 7.0へｱｯﾌﾟﾃﾞｰﾄできない場合があります｡

<<NEW