WordPressは今すぐ更新を。ログイン不要の攻撃につながる脆弱性と、nginxの重大問題を整理

2026年7月、Webサイトの運営に関係する、危険度の高い脆弱性が相次いで公表されました。

特に注意したいのは、次の2件です。

• WordPress本体で見つかった、遠隔からのコード実行につながる脆弱性

• Webサーバー「nginx」で見つかった、バッファオーバーフローの脆弱性

WordPress側は、条件を満たすバージョンに対し、ログインしていない第三者が外部から攻撃できる可能性があります。公開された情報を組み合わせた攻撃手法も報告されており、影響を受けるサイトは早急な更新が必要です。

nginx側も、特定の設定を使用しているサーバーでは、細工されたHTTPリクエストによってプロセスが停止し、条件によっては任意のコードを実行される可能性があります。

今回は、2026年7月21日時点で分かっている情報を基に、何が問題なのか、どのような人が対応すべきなのかを整理します。

最初に結論：対象者と必要な対応

表にまとめてみました。

なかでも、一般のサイト運営者に影響が大きいのはWordPressです。

WordPress.orgは脆弱性の深刻さを受け、影響を受けるバージョンに対し、自動更新システムを通じた強制更新を有効にしたと説明しています。

ただし、

• ファイル権限の問題で更新できない

• サーバー容量が不足している

• ホスティング事業者が独自に更新を制御している

• 更新処理中にエラーが起きた

といった理由で、自動更新が完了していない可能性もあります。

「自動更新されているはず」と思い込まず、実際のバージョンを確認した方がよいでしょう。

WordPress本体に2つの脆弱性

2026年7月17日、WordPress.orgはセキュリティアップデートとなる「WordPress 7.0.2」を公開しました。

今回修正されたのは、次の2件です。

WordPress公式は、今回のアップデートについて、Criticalが1件、Highが1件含まれるセキュリティリリースだと説明し、直ちに更新するよう推奨しています。

影響を受けるWordPressのバージョン

影響範囲は、脆弱性によって異なります。

SQLインジェクションの影響

CVE-2026-60137の影響を受けるのは、次のバージョンです。

• WordPress 6.8.0〜6.8.5

• WordPress 6.9.0〜6.9.4

• WordPress 7.0.0〜7.0.1

修正版は次の通りです。

• WordPress 6.8.6

• WordPress 6.9.5

• WordPress 7.0.2

遠隔コード実行につながる問題

CVE-2026-63030の影響を受けるのは、次のバージョンです。

• WordPress 6.9.0〜6.9.4

• WordPress 7.0.0〜7.0.1

WordPress 6.9以降では、REST APIの問題とSQLインジェクションを組み合わせることで、ログインしていない攻撃者が外部から任意のコードを実行できる可能性があります。

WordPress 6.8系はSQLインジェクションの影響を受けますが、今回公表されたREST APIとの組み合わせによる遠隔コード実行の対象には含まれていません。

また、WordPress公式によると、6.8より前のバージョンは今回の2件の影響を受けません。

ただし、古いWordPressには別の既知の脆弱性が残っている可能性があります。

「今回の問題の対象外だから、古いバージョンのままでも安全」という意味ではありません。

SQLインジェクションとは何か

WordPressは、記事、ユーザー情報、各種設定などをデータベースへ保存しています。

通常、データベースへ送る命令は、WordPress側で安全な形に処理されます。

しかし、入力内容の処理に問題があると、攻撃者が入力した文字列をデータベースへの命令として解釈させられる場合があります。

これがSQLインジェクションです。

攻撃に成功すると、条件によっては、

• データベース内の情報を読み取られる

• 保存内容を書き換えられる

• 管理情報を取得される

• ほかの脆弱性と組み合わせて攻撃を拡大される

といった被害につながります。

今回のCVE-2026-60137は、プラグインやテーマが外部から受け取った信頼できない値をWP_Queryへ渡す場合に、SQLインジェクションを引き起こす可能性があります。

単独でも問題ですが、WordPress 6.9以降では、もう一つのREST APIの問題と組み合わせることで、さらに深刻な攻撃へ発展する可能性があります。

RCEは「サーバー上で命令を実行される」問題

RCEは「Remote Code Execution」の略で、日本語では遠隔コード実行と呼ばれます。

少し難しい言葉ですが、簡単にいえば、

「攻撃者がインターネット経由で、サーバー上に自分の命令を実行させる」

という脆弱性です。

攻撃に成功すると、サーバーの権限や構成によっては、

• 不正な管理者アカウントを作られる

• Webサイトを改ざんされる

• 別サイトへ誘導するコードを埋め込まれる

• マルウェアを設置される

• データベースの情報を盗まれる

• サーバーを別の攻撃に悪用される

といった被害が考えられます。

今回のWordPressの問題が特に危険なのは、WordPressの管理者アカウントを事前に盗まなくても、外部から攻撃できる可能性がある点です。

NHS Englandのサイバーセキュリティ部門は、この攻撃の組み合わせを「wp2shell」と呼び、実際の悪用が報告され、公開された実証コードも存在すると警告しています。

WordPress利用者が今すぐ確認すること

1. WordPress本体のバージョンを確認する

WordPressの管理画面へログインし、

ダッシュボード → 更新

を開きます。

WordPress 7.0.2以降であれば、今回の2件については修正済みです。

6.9系または6.8系を継続する事情がある場合は、それぞれ6.9.5、6.8.6まで更新します。

ただし、古い系列へ修正版が提供されていても、今後の安全性を考えれば、テーマやプラグインの互換性を確認したうえで、サポート中の最新版へ移行する方が望ましいでしょう。

2. 自動更新の結果を確認する

今回は影響の大きさから、WordPress.org側で対象サイトへの自動更新が有効化されています。

それでも、すべてのサイトが確実に更新できるとは限りません。

「自動更新されるはず」ではなく、管理画面に表示されている現在のバージョンを確認してください。

3. 更新前にバックアップを取る

更新前には、WordPressのファイルとデータベースのバックアップを取ります。

ただし、すでに侵害されている可能性があるサイトでは、現在のバックアップにも不正なファイルが含まれている可能性があります。

過去の正常なバックアップを上書きせず、世代を分けて保存することが重要です。

4. 不審な変更がないか確認する

脆弱な状態でインターネットへ公開していた場合、更新だけで終わらせず、次のような異常がないか確認した方が安全です。

• 覚えのない管理者アカウント

• 身に覚えのないプラグイン

• 最近変更されたテーマやプラグインのファイル

• アップロードフォルダ内の不審なPHPファイル

• 覚えのない必須プラグイン

• 外部サイトへ勝手に転送される動作

• 検索結果に不審なページが表示される

• WordPressやサーバーから不審なメールが送信されている

異常が見つかった場合、管理者パスワードを変更するだけでは不十分です。

不正ファイルやバックドアが残っていれば、パスワードを変えても再び侵入される可能性があります。

明らかな改ざんや不審な通信が確認された場合は、むやみにファイルを削除せず、可能であればログやサーバーの状態を保全したうえで、ホスティング事業者やセキュリティ担当者へ相談してください。

5. 調査・復旧後に認証情報を変更する

侵害が疑われる場合は、脆弱性の修正と調査を行ったうえで、

• WordPress管理者パスワード

• レンタルサーバーのパスワード

• FTP・SFTP・SSHの認証情報

• データベースのパスワード

• APIキー

• WordPressの認証用Salt

などを変更します。

脆弱性を直す前にパスワードだけを変更しても、攻撃経路やバックドアが残っていれば十分な対策にはなりません。

レンタルサーバー利用者は何をすればよいのか

エックスサーバー、ConoHa WING、さくらのレンタルサーバなどでWordPressを使っている場合、nginxやOSの管理は通常、サーバー会社が担当します。

一方、WordPress本体、テーマ、プラグインの更新は、契約や設定によって利用者側の責任になることがあります。

一般のWordPress運営者は、まず次の2点を確認すればよいでしょう。

1. WordPress本体が7.0.2以降になっているか

2. 利用しているレンタルサーバーからセキュリティに関する案内が出ていないか

管理画面へ入れない、更新に失敗する、不審なファイルが見つかった場合は、自分で削除を繰り返すより、サーバー会社のサポートへ相談する方が安全です。

nginxでもバッファオーバーフローの脆弱性

2026年7月15日、nginxは複数の脆弱性を修正した「nginx 1.30.4」と「nginx 1.31.3」を公開しました。

このうち、特に注意したいのがCVE-2026-42533です。

nginx公式は、この問題を「Major」と評価しています。

影響を受けるのは、次のバージョンです。

• nginx 0.9.6〜1.30.3

• nginx 1.31.0〜1.31.2

修正版は次の通りです。

• Stable：nginx 1.30.4以降

• Mainline：nginx 1.31.3以降

nginxとは何か

nginxは、Webサイトのデータをブラウザへ配信するWebサーバーソフトウェアです。

WordPressのプラグインではありません。

WordPressを動かすサーバーの前段などで、

• Webページの配信

• HTTPS通信

• リバースプロキシ

• 負荷分散

• キャッシュ

• アクセス制御

といった役割を担当します。

共用レンタルサーバーでは事業者が管理していますが、VPS、クラウドサーバー、Docker、Kubernetesなどを使っている場合は、利用者や所属組織がnginxを管理している可能性があります。

「自分がnginxを使っているのか分からない」という場合、共用レンタルサーバーであれば、まずサーバー会社の案内を確認すればよいでしょう。

すべてのnginxが同じように攻撃されるわけではない

CVE-2026-42533は、nginxのmapという機能で正規表現を使っている場合に関係する、ヒープバッファオーバーフローの脆弱性です。

バッファオーバーフローとは、プログラムが確保したメモリー領域を超えて、データを書き込んでしまう問題です。

悪用されると、

• nginxの処理が停止する

• Webサイトへ接続しにくくなる

• サービス妨害につながる

• 条件によっては、nginxの権限でコードを実行される

可能性があります。

ただし、nginxを使っているだけで、すべてのサーバーが直ちに遠隔コード実行の影響を受けるわけではありません。

今回の問題は、mapと正規表現を組み合わせた特定の設定が前提です。

それでも、自分の設定が対象外だと判断するより、修正版へ更新する方が確実です。

nginxを使っている人は、誰が管理しているか確認する

nginxの対応で最初に確認したいのは、現在のバージョンよりも、誰がそのサーバーを管理しているかです。

共用レンタルサーバーを使っている場合

共用レンタルサーバーでは、利用者がnginxを直接更新することは通常ありません。

サーバー会社がWebサーバーやOSを管理しているため、利用者が行うのは、事業者からセキュリティに関する案内が出ていないか確認することです。

対応状況が分からない場合は、サポートへ問い合わせてもよいでしょう。

VPSやクラウドサーバーを自分で管理している場合

VPS、AWS、Google Cloud、Microsoft Azureなどで、自分や所属組織がOSやWebサーバーを管理している場合は、nginxの更新が必要です。

nginx公式版を直接利用している場合は、1.30.4または1.31.3以降が修正版です。

ただし、Linuxディストリビューションによっては、古いバージョン番号のパッケージへ脆弱性の修正だけを反映する「バックポート」が行われることがあります。

そのため、画面や管理ツールに表示される数字だけでなく、利用しているOSやクラウド事業者が公開しているセキュリティ情報も確認する必要があります。

自分で判断できない場合は、サーバーの構築を担当した事業者や保守担当者へ、

CVE-2026-42533への対応状況を確認したい
(もしくは、最近のCVEへの対応状況、特にバッファーオバーフローの件を確認したい）

と伝えるのが分かりやすいと思います。

DockerやKubernetesを使っている場合

Dockerなどのコンテナ内でnginxを動かしている場合、サーバー本体を更新しただけでは、コンテナ内のnginxは更新されません。

修正済みのnginxを含むイメージへ変更し、コンテナを作り直して再配置する必要があります。

この部分は一般のWordPress利用者が対応するものではなく、Webサービスの開発者やインフラ管理者が確認する項目です。

更新後はWebサイトの動作も確認する

nginxを更新した後は、

• Webサイトへ正常にアクセスできるか

• HTTPS通信が正常に動作するか

• 画像やファイルを表示できるか

• 管理画面やAPIへ接続できるか

• エラーが増えていないか

などを確認します。

パッケージを更新しただけで安心せず、修正版が実際に動いていることと、Webサイトに問題が起きていないことを確認する必要があります。

同時に修正されたnginxの脆弱性

nginx 1.30.4と1.31.3では、CVE-2026-42533以外にも次の問題が修正されています。

nginxを更新すれば、これらの問題もまとめて修正できます。

ほかに注意したい直近の重大脆弱性：Adobe ColdFusion

直近のWebサーバー・Webアプリケーション関連では、Adobe ColdFusionの脆弱性にも注意が必要です。

Adobeは2026年6月30日、ColdFusion 2025とColdFusion 2023向けのセキュリティアップデートを公開しました。

複数の脆弱性がCVSS 10.0と評価されており、任意のコード実行につながる可能性があります。

特にCVE-2026-48282について、Adobeは限定的ながら実際の攻撃で悪用されていることを確認しています。

影響を受けるバージョンと修正版は次の通りです。

ColdFusionを使っていない一般のWordPress利用者には関係ありません。

企業内システムや業務用WebアプリケーションでColdFusionを運用している管理者は、更新の適用と侵害の有無の調査を優先する必要があります。

Adobe公式：ColdFusion Security Bulletin APSB26-68

更新すれば終わり、とは限らない

脆弱性への基本的な対策は、修正版へ更新することです。

ただし、脆弱な状態で公開していた期間に、すでに侵入されている場合があります。

一度バックドアを設置されると、WordPressやnginxを更新しても、そのバックドアまでは自動的に削除されません。

今回のように実証コードが公開され、悪用も報告されている問題では、

1. 影響を受けるバージョンを特定する

2. 不審な変更や通信がないか確認する

3. 必要に応じてログやサーバーの状態を保全する

4. 修正版へ更新する

5. 不審なアカウントやファイルがないか調査する

6. 必要に応じて認証情報を変更する

7. 深刻な侵害が確認された場合は、正常なバックアップから復旧する

という流れで考える必要があります。

ただし、調査のために脆弱なサイトを長時間公開し続けるべきではありません。

被害が疑われる場合は、必要に応じて公開を一時的に制限し、ホスティング事業者やセキュリティ担当者へ相談してください。

正常なバックアップから復元する場合も、サイトの公開を再開する前に、WordPress本体や関連ソフトウェアを修正版へ更新する必要があります。

特にECサイト、会員サイト、予約サイトなど、個人情報や注文情報を扱うサイトでは、更新後の確認も重要です。

まとめ

2026年7月、WordPress本体とnginxで、Webサイト運営者が注意すべき脆弱性が公表されました。

WordPressでは、6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1がSQLインジェクションの影響を受けます。

このうち、6.9.0〜6.9.4と7.0.0〜7.0.1では、REST APIの問題と組み合わせることで、ログインしていない第三者による遠隔コード実行につながる可能性があります。

一般のWordPress利用者は、まずWordPress本体を7.0.2以降へ更新できているか確認してください。

6.9系または6.8系を継続する事情がある場合は、少なくとも6.9.5、6.8.6へ更新する必要があります。

nginxでは、mapと正規表現を利用する特定構成で、バッファオーバーフローが発生する可能性があります。

nginxを自分で管理している人は、1.30.4または1.31.3以降、あるいはOSベンダーが修正済みとするパッケージへ更新する必要があります。

共用レンタルサーバーを使っている場合、nginxの更新は通常サーバー会社が担当します。一方、WordPress本体の更新は利用者側の確認が必要な場合があります。

今回の件で最も大切なのは、

「自動更新されているはず、サーバー会社が対応しているはず」

と考えるだけではなく、実際のバージョンと対応状況を確認することです。

脆弱性は公表された時点から、攻撃者にとっても既知の情報になります。

WordPressサイトを運営している場合は、記事を読み終えたあとに管理画面を開き、現在のバージョンを確認することをおすすめします。

関連記事

参考情報

• WordPress公式：WordPress 7.0.2 Release

• WordPress公式：CVE-2026-60137／SQLインジェクション

• WordPress公式：CVE-2026-63030／遠隔コード実行につながる問題

• NHS England：wp2shellに関するセキュリティ警告

• nginx公式：Security Advisories

• nginx公式：2026年のリリース情報

• Adobe公式：ColdFusion Security Bulletin APSB26-68

#WordPress
#サイバーセキュリティ
#セキュリティ
#脆弱性
#Webセキュリティ
#サイバー攻撃
#nginx
#Webサイト運営