WordPress サイトの乗っ取りを可能にする重大な脆弱性の発覚
Searchlight Cyber の研究者は、WordPress コアにおける重大な脆弱性の連鎖、通称 WP2Shell を特定しました。これは認証やインストール済みプラグインを必要とせず、リモートコード実行を可能にします。CVE-2026-63030 と CVE-2026-60137 を組み合わせることで、バージョン 6.8.0 から 7.0.1 を実行するサイトを乗っ取ることができ、セキュリティ企業 watchTowr により実際の攻撃が確認されています。WordPress はバージョン 6.9.5 と 7.0.2 への自動更新を強制する対応を取りましたが、自動更新を無効化しているサイトは、管理者が手動でパッチを適用するか、一時的な API 制限を実装するまで危険にさらされた状態が続きます。
CVE-2026-9833
WordPressプラグイン「Tag Groups」の2.2.0より前のバージョンには、AJAXパラメータのエスケープ処理が不十分であることに起因する、深刻なクロスサイトスクリプティング（XSS）脆弱性が存在します。この欠陥により、認証されていない攻撃者が、編集者権限以上のユーザーのブラウザ内で任意のJavaScriptコードを実行することが可能になります。攻撃には、被害者が作成されたリンクにアクセスするだけでよく、事前の認証なしにデータ窃取やセッション乗っ取りを可能にします。このセキュリティギャップを解消し、不正なコード実行を防ぐため、直ちにバージョン2.2.0以降へのパッチ適用が必要です。