昨日も、多数のお客様にクラブヴォーグをご利用いただき、本当に有難うございましたm(_ _)m


お店のオフィシャルサイトでワードプレスを使っているのですが、どうやらワードプレスの脆弱性が公開されたみたいです。


実は昨日、オフィシャルサイトの管理画面が異常に重くなり、プラグインを削除したり、いろいろ作業をしたんよな。


プラグインを新しいのに変えたりして対策をした後に、サーバー会社からワードプレスの脆弱性が公開されたので、いろいろ注意してくださいというメールが届きました。


先月ぐらいから、オフィシャルサイトのアクセス数が異常に増えて、原因を調べたら中国からのアクセスがめちゃくちゃあったんよな。


これは気持ち悪いと思い、中国からのアクセスができなくなるように新しいプラグインを使うようにしたんやけど、どうもこのプラグインが店のサイトとの相性が悪いみたいで、昨日の様に管理画面がめちゃくちゃ重たくなったんやと思っていました。


プラグインとの相性もあったんかも知れないけど、昨日に分かったワードプレスの脆弱性を狙った攻撃を受けていたのかも知れません。


違うプラグインに変えてからは、管理画面が重くなるやサイトが重くなる症状は出てないので、しばらく様子を見てみようと思います。


会社やお店のサイトや個人の人のブログなどで、ワードプレスは多くの人が使っていると思うので、早めにこの脆弱性の対応や海外からのアクセスをできなくするなどの対策をした方が良いかと思います。


ここに俺が使っているプラグインを書きたいとも思うんやけど、どんなプラグインを使っているかをサイト上に載せるのはちょっとリスクがあると思うので書きませんが、プラグインの名前は英語表記ですが、設定の仕方などの中身は日本語表記なんで、Googleで検索してもらえば出てくると思います。


検索順も結構後ろの方になります。


最初の方には、前に使っていて相性の悪かた（IP2Location Country Blocker）が出てくると思うので、それとは違うやつになります。


下記が脆弱性の概要になります。


■脆弱性の概要
　【WordPress Core】
　・CVE-2026-63030（REST API Batch Route Confusion）
　・CVE-2026-60137（WP_Query author__not_in SQL Injection）
　これら2件を組み合わせた攻撃チェーンは「wp2shell」と呼ばれています。
　本脆弱性が悪用された場合、認証を行わずにリモートからコードが実行され、Webサイトの改ざん、
　Webシェル設置、管理者権限の取得、情報漏えい等につながる可能性があります。
　また、公開PoCが存在しており、実際の悪用も確認されています。

■影響を受ける可能性のあるバージョン
　【wp2shell（認証不要RCE）】
　・WordPress 6.9.0 〜 6.9.4
　・WordPress 7.0.0 〜 7.0.1
　【SQLインジェクションのみ】
　・WordPress 6.8.0 〜 6.8.5

■対策方法
　以下の修正版へのアップデートを実施してください。
　・WordPress 6.8.6
　・WordPress 6.9.5
　・WordPress 7.0.2

　・WordPress管理画面より、WordPress本体を最新バージョンへアップデートしてください。
　・WordPress 7.0をご利用いただく場合、PHP 7.4以上が必要となります。
　・PHP 5.6をご利用中の場合は、コントロールパネルよりPHPバージョンを7.4以上へ変更したうえでWordPressをアップデートしてください。
　・PHPバージョン変更後は、ご利用中のテーマおよびプラグインの互換性をご確認ください。

■注意事項
　・認証不要で攻撃が可能です。
　・公開PoCおよび実際の悪用が確認されています。
　・WordPress専用サーバーをご利用のお客様は、WordPressのバージョンだけでなく、PHPバージョンについても併せてご確認ください。
　・PHP 5.6などの旧バージョンをご利用の場合、WordPress 7.0へアップデートできない場合があります。