たまにWordPressで重要な脆弱性が発見されることがあります。
WordPressは、利用者数が非常に多いため、どうしてもハッカーに狙われやすいという面があり、セキュリティの手を緩めることができません。
Fedoraサーバーを利用している場合、公式パッケージの更新が脆弱性公開に追いつかず、対応が遅れることがあります。
今回は緊急の脆弱性のようで、執筆時点ではFedoraパッケージではまだ対応されていないようです。
今回の内容については、piyokango氏のブログに早速情報がまとめられていました。
(参考:「WordPress Coreの脆弱性 CVE-2026-63030 / CVE-2026-60137 (通称「wp2shell」)についてまとめてみた」)
また、バージョンが対応済みかどうかを判定できるサイトもありました。
Searchlight Cyber「wp2shell: Pre Authentication RCE in WordPress Core」(脆弱性チェッカー・緩和策プラグイン公開ページ)
対応手順
Fedoraのdnfによるアップデートがまだ対応していないため、WordPress公式サイトからzipファイルをダウンロードし、手動で上書き対応を行います。
1. バックアップの取得
パッケージ側での正式対応が行われた際に元に戻せるよう、作業前に必ずWordPressフォルダ全体のバックアップを取得しておいてください。
tar -czf wordpress-backup-$(date +%Y%m%d).tar.gz /path/to/wordpress
2. 最新版のダウンロードと上書き
WordPressのリリースページから、6.9.5以上または7.0.2の最新版をダウンロードし、zipファイルを解凍してコピーします。
unzip wordpress-*.*.*.zip
\cp -r --force ./wordpress /path/to/wordpress
# (行頭の"\"はエイリアスを無視してcpコマンドを実行し、--forceオプションを有効にするためです)
3. 不要ファイルの削除とパーミッション設定
cd /path/to/wordpress
rm -f wp-config-sample.php
chown -R apache:apache ./wp-admin
chown -R apache:apache ./wp-content
chown -R apache:apache ./wp-includes
Fedoraはパッケージ管理が主となりますので、パッケージで正式に対応されたら、今回の手動での上書きは元に戻し、dnfによる管理に戻すことをおすすめします。


