【重要】WordPressの脆弱性（wp2shell／CVE-2026-63030）に関する注意喚起とサーバー側対策のお知らせ（8/27 14:50 更新）
2026/08/27
平素は弊社運営サービスをご利用いただき、誠にありがとうございます。
このたび、コンテンツ管理システム「WordPress」のコア機能において、
外部からの攻撃により第三者による任意のコード実行（Webサイトの乗っ取り）を引き起こすおそれのある
重大な脆弱性（CVE-2026-63030、通称「wp2shell」）が公表されました。
本脆弱性は、認証やログインを必要とせず、
また導入しているプラグインやテーマの有無にかかわらず、
該当バージョンのWordPressをご利用の場合に影響を受けるものです。
現時点で、当サービスにおける本脆弱性を悪用した被害は確認しておりませんが、
お客様のWebサイトを安全にご利用いただくための暫定的な対策として
対象サーバーにおいて本脆弱性の攻撃経路となるREST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を
遮断する対応を実施いたしました。
ただし、本対応はあくまで被害の発生を抑えるための暫定的な措置であり、根本的な解決には至りません。
恒久的な対策として、お客様ご自身によるWordPress本体のアップデートを何卒よろしくお願いいたします。
お客様には大変ご迷惑をおかけいたしますが、安全なサービス提供を最優先とした対応となりますので
何卒ご理解とご協力を賜りますようお願い申し上げます。
----------------------------------------------------------------------
■公表された脆弱性
CVE-2026-63030（通称：wp2shell）
※連携して悪用されるSQLインジェクションの脆弱性（CVE-2026-60137）を含みます。
■影響を受けるWordPressのバージョン
・WordPress 6.9.0 〜 6.9.4
・WordPress 7.0.0 〜 7.0.1
・WordPress 6.8.0 〜 6.8.5（連携するSQLインジェクションの影響対象）
■対象サービス
エックスサーバー
XServerビジネス
XServer for WordPress
■弊社にて実施済みの対策
対象サーバーにおいて、REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断（2026年7月19日 AM6:30頃 実施）
■お客様への影響について（重要）
上記の遮断対応に伴い、REST APIのバッチ処理機能（batch v1／/wp-json/batch/v1）が一時的にご利用いただけなくなっております。
通常のWebサイトの表示・閲覧、および管理画面の操作には影響ありませんが、
batch v1のREST APIを利用したプラグイン・テーマ・外部連携・独自開発の機能をご利用の場合、
当該機能が正常に動作しなくなる可能性があります。
■お客様へのお願い（重要）
お客様がご利用中のWordPressを、以下の修正版以降へ速やかにアップデートしてください。
・6.9.x をご利用の場合 → 6.9.5 以降
・7.0.x をご利用の場合 → 7.0.2 以降
・6.8.x をご利用の場合 → 6.8.6 以降
※自動更新を有効にされている場合も、実際にアップデートが完了しているか管理画面にてご確認ください。
■今後の対応について
恒久的な対策として、お客様のWordPressアップデート状況および攻撃の状況を継続して確認のうえ、
安全が確認でき次第、遮断対応の解除を検討いたします。
状況に変化があった場合は、改めてご案内いたします。
----------------------------------------------------------------------
弊社では、今後もお客様に安心してご利用いただけるよう、サービスおよびセキュリティの向上に努めてまいります。
今後ともどうぞよろしくお願い申し上げます。
（2026年7月22日 追記）
batch v1 の REST API を利用したプラグイン・テーマ・外部サービス連携・独自開発機能をご利用のお客様で、
本対策により機能に影響が生じている場合は、個別に制限の解除を検討いたします。
お手数ですが、解除をご希望のドメイン名を添えて、弊社サポートまでお問い合わせください。
（2026年8月6日 追記）
2026年8月6日時点で、本脆弱性の影響を受けるバージョンのWordPressをご利用中のドメインを除き、
REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信遮断を解除いたしました。
遮断が継続しているドメインにつきましては、WordPress本体のアップデートをご対応のうえ、
お手数ですが解除をご希望のドメイン名を添えて、弊社サポートまでお問い合わせください。
アップデートの完了を確認のうえ、個別に遮断を解除いたします。
（2026年8月25日 追記）
脆弱性が悪用されるリスクや緊急性を踏まえ、今回の「wp2shell」への対応として
システムで検知した影響対象のWordPressバージョンをご利用中であったお客様に対し、
WordPressの自動アップデートを実施した旨、順次メールにて個別にご案内を実施しておりますので、ご確認のほどよろしくお願い申し上げます。
（2026年8月26日 追記）
上記8月25日追記のWordPress本体のアップデートにつきましては、
本脆弱性が悪用されるリスクや緊急性を踏まえ、対象となるWordPress環境に対して
7月31日頃〜8月25日にかけて、当社側で順次実施していたものです。
本対応は、不正アクセスによる被害防止を優先し、対象のお客様への事前のご案内に先行して実施いたしました。
アップデート実施後は、対応完了したお客様から順次速やかにお知らせすべきところ、
弊社からのご案内が対象環境全体への対応完了後となってしまい、一部のお客様へのお知らせまでに期間を要しております。
ご案内が遅れましたことをお詫び申し上げます。
（2026年8月27日 追記）
本件につきまして、不審な変更やアクセスの痕跡を確認する手順を動画で公開いたしました。
簡易セルフチェックとしてご活用ください。
◇WordPress 脆弱性「wp2shell」による不正アクセス状況確認（外部サイト）
このたび、コンテンツ管理システム「WordPress」のコア機能において、
外部からの攻撃により第三者による任意のコード実行（Webサイトの乗っ取り）を引き起こすおそれのある
重大な脆弱性（CVE-2026-63030、通称「wp2shell」）が公表されました。
本脆弱性は、認証やログインを必要とせず、
また導入しているプラグインやテーマの有無にかかわらず、
該当バージョンのWordPressをご利用の場合に影響を受けるものです。
現時点で、当サービスにおける本脆弱性を悪用した被害は確認しておりませんが、
お客様のWebサイトを安全にご利用いただくための暫定的な対策として
対象サーバーにおいて本脆弱性の攻撃経路となるREST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を
遮断する対応を実施いたしました。
ただし、本対応はあくまで被害の発生を抑えるための暫定的な措置であり、根本的な解決には至りません。
恒久的な対策として、お客様ご自身によるWordPress本体のアップデートを何卒よろしくお願いいたします。
お客様には大変ご迷惑をおかけいたしますが、安全なサービス提供を最優先とした対応となりますので
何卒ご理解とご協力を賜りますようお願い申し上げます。
----------------------------------------------------------------------
■公表された脆弱性
CVE-2026-63030（通称：wp2shell）
※連携して悪用されるSQLインジェクションの脆弱性（CVE-2026-60137）を含みます。
■影響を受けるWordPressのバージョン
・WordPress 6.9.0 〜 6.9.4
・WordPress 7.0.0 〜 7.0.1
・WordPress 6.8.0 〜 6.8.5（連携するSQLインジェクションの影響対象）
■対象サービス
エックスサーバー
XServerビジネス
XServer for WordPress
■弊社にて実施済みの対策
対象サーバーにおいて、REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断（2026年7月19日 AM6:30頃 実施）
■お客様への影響について（重要）
上記の遮断対応に伴い、REST APIのバッチ処理機能（batch v1／/wp-json/batch/v1）が一時的にご利用いただけなくなっております。
通常のWebサイトの表示・閲覧、および管理画面の操作には影響ありませんが、
batch v1のREST APIを利用したプラグイン・テーマ・外部連携・独自開発の機能をご利用の場合、
当該機能が正常に動作しなくなる可能性があります。
■お客様へのお願い（重要）
お客様がご利用中のWordPressを、以下の修正版以降へ速やかにアップデートしてください。
・6.9.x をご利用の場合 → 6.9.5 以降
・7.0.x をご利用の場合 → 7.0.2 以降
・6.8.x をご利用の場合 → 6.8.6 以降
※自動更新を有効にされている場合も、実際にアップデートが完了しているか管理画面にてご確認ください。
■今後の対応について
恒久的な対策として、お客様のWordPressアップデート状況および攻撃の状況を継続して確認のうえ、
安全が確認でき次第、遮断対応の解除を検討いたします。
状況に変化があった場合は、改めてご案内いたします。
----------------------------------------------------------------------
弊社では、今後もお客様に安心してご利用いただけるよう、サービスおよびセキュリティの向上に努めてまいります。
今後ともどうぞよろしくお願い申し上げます。
（2026年7月22日 追記）
batch v1 の REST API を利用したプラグイン・テーマ・外部サービス連携・独自開発機能をご利用のお客様で、
本対策により機能に影響が生じている場合は、個別に制限の解除を検討いたします。
お手数ですが、解除をご希望のドメイン名を添えて、弊社サポートまでお問い合わせください。
（2026年8月6日 追記）
2026年8月6日時点で、本脆弱性の影響を受けるバージョンのWordPressをご利用中のドメインを除き、
REST APIのバッチエンドポイント（/wp-json/batch/v1）への通信遮断を解除いたしました。
遮断が継続しているドメインにつきましては、WordPress本体のアップデートをご対応のうえ、
お手数ですが解除をご希望のドメイン名を添えて、弊社サポートまでお問い合わせください。
アップデートの完了を確認のうえ、個別に遮断を解除いたします。
（2026年8月25日 追記）
脆弱性が悪用されるリスクや緊急性を踏まえ、今回の「wp2shell」への対応として
システムで検知した影響対象のWordPressバージョンをご利用中であったお客様に対し、
WordPressの自動アップデートを実施した旨、順次メールにて個別にご案内を実施しておりますので、ご確認のほどよろしくお願い申し上げます。
（2026年8月26日 追記）
上記8月25日追記のWordPress本体のアップデートにつきましては、
本脆弱性が悪用されるリスクや緊急性を踏まえ、対象となるWordPress環境に対して
7月31日頃〜8月25日にかけて、当社側で順次実施していたものです。
本対応は、不正アクセスによる被害防止を優先し、対象のお客様への事前のご案内に先行して実施いたしました。
アップデート実施後は、対応完了したお客様から順次速やかにお知らせすべきところ、
弊社からのご案内が対象環境全体への対応完了後となってしまい、一部のお客様へのお知らせまでに期間を要しております。
ご案内が遅れましたことをお詫び申し上げます。
（2026年8月27日 追記）
本件につきまして、不審な変更やアクセスの痕跡を確認する手順を動画で公開いたしました。
簡易セルフチェックとしてご活用ください。
◇WordPress 脆弱性「wp2shell」による不正アクセス状況確認（外部サイト）
