【ITリテラシーまんが】WordPressに重大な脆弱性！「wp2shell」
WordPressに、Webサイトの乗っ取りにつながるおそれのある重大な脆弱性が公表されました。
今回注目されているのは、通称「wp2shell」と呼ばれるCVE-2026-63030と、関連するSQLインジェクションの脆弱性CVE-2026-60137です。
聞き慣れない番号が並んでいますが、まず知っておきたいのは、
今回は、特定のプラグインを使っている人だけの問題ではない
という点です。
対象バージョンのWordPressを使用している場合、企業サイト、店舗サイト、個人事業のホームページ、ブログなど、規模や用途に関係なく確認が必要です。
何が起きたのか
今回公表されたのは、WordPress本体に関係する2つの脆弱性です。
CVE-2026-63030（wp2shell）
WordPressのREST APIにあるバッチ処理で、処理先の判定に問題が見つかりました。
この問題は、もう一つのSQLインジェクション脆弱性と組み合わされることで、外部から不正な命令を実行される「リモートコード実行」につながるおそれがあります。
CVE-2026-60137
WordPressがデータベースから情報を取り出す処理の一部で、入力内容を適切に処理できない問題です。
プラグインやテーマなどから危険な入力が渡された場合、データベースへ不正な命令を送り込む「SQLインジェクション」につながる可能性があります。
悪用されると何が起きるのか
攻撃が成功した場合、状況によっては次のような被害につながります。
ホームページを改ざんされる
不正なプログラムやファイルを置かれる
詐欺サイトや偽の警告画面へ転送される
管理者権限を奪われる
サーバーを別の攻撃に利用される
単に「ページの表示が少し崩れる」という話ではありません。
外部からサーバー上で不正な処理を実行される可能性があるため、対応の優先度が高い脆弱性です。
今回は、これまでの脆弱性と何が違うのか
WordPressの脆弱性というと、
特定のプラグインを使っているサイトだけが対象
というケースをよく見かけます。
その場合は、問題のあるプラグインを使用していなければ、直接の影響を受けないこともあります。
しかし今回は、WordPress本体の機能に関係する脆弱性です。
そのため、
特別なプラグインを入れていない
シンプルな会社案内サイトしかない
アクセス数が少ない
個人や小さな会社が運営している
といった理由だけでは、対象外とは判断できません。
まずは、現在使っているWordPressのバージョンを確認する必要があります。
強いパスワードや二段階認証があっても安心できない？
強いパスワードや二段階認証は、もちろん大切です。
ただし、これらは主に「不正ログイン」を防ぐための対策です。
今回は、管理画面のパスワードを推測してログインする攻撃とは別の経路から、脆弱性を悪用される可能性があります。
たとえるなら、玄関の鍵をしっかり閉めていても、建物の設備に別の侵入口が見つかったような状態です。
玄関の鍵をさらに強くしても、別の場所にある弱点は直りません。
今回必要なのは、WordPress本体を修正版へ更新することです。
小さな会社や個人サイトも関係があります
攻撃者が一つひとつのサイトを見て、
この会社を狙おう
と決めているとは限りません。
インターネット上を自動的に巡回し、古いバージョンや既知の脆弱性が残るサイトを探す攻撃もあります。
そのため、
有名企業ではないから狙われない
個人ブログだから大丈夫
ほとんど更新していないサイトだから価値がない
とは言い切れません。
攻撃者から見ると、会社の規模よりも、悪用できる弱点が残っているかどうかが重要になることがあります。
企業サイトだけでなく、個人事業のサイトやブログも確認が必要です。
サーバー会社が対策したなら、もう安心？
一部のサーバー会社では、今回の攻撃に使われる可能性がある通信を一時的に遮断しています。
XServerでは2026年7月19日午前6時30分ごろ、REST APIのバッチエンドポイントである/wp-json/batch/v1への通信を遮断したと発表しました。XServer側では、発表時点でこの脆弱性を悪用した被害は確認されていないとしています。
ただし、これはあくまで被害を抑えるための応急処置です。
サーバー会社の対応
攻撃に利用される経路を一時的に遮断するサイト運営者の対応
原因となるWordPress本体を修正版へ更新する
サーバー会社が通信を止めても、WordPress本体の脆弱性そのものが修正されたわけではありません。
また、すべてのサーバー会社が同じ対策を行っているとは限りません。
サーバー会社が対応してくれたから、何もしなくてよい
とは考えず、自分のサイトでも更新状況を確認しましょう。
影響を受けるWordPressのバージョン
今回、影響を受けると案内されているバージョンは次のとおりです。
WordPress 6.9.0～6.9.4
WordPress 7.0.0～7.0.1
WordPress 6.8.0～6.8.5
ただし、6.8系はwp2shellそのものではなく、関連するCVE-2026-60137の影響対象です。
WordPress公式では、6.9系は2つの脆弱性、6.8系はCVE-2026-60137の影響を受けると説明しています。また、6.8より前のバージョンは今回の2件の影響を受けないとされています。
更新先の目安
6.9系 → 6.9.5以降
7.0系 → 7.0.2以降
6.8系 → 6.8.6以降
WordPress 7.1のベータ版を試している場合は、修正済みの7.1 beta 2以降が案内されています。
今日から確認したい6つのこと
更新ボタンを急いで押すだけではなく、順番に確認していきましょう。
1．バックアップを取る
更新前に、サイトのファイルとデータベースをバックアップします。
更新で不具合が起きた場合に、元の状態へ戻せるようにしておくためです。
「サーバー会社が自動でバックアップしているはず」と思わず、保存期間や復元方法も確認しておくと安心です。
2．現在のバージョンを確認する
WordPressの管理画面を開き、現在使用しているバージョンを確認します。
自動更新を有効にしていても、
更新途中でエラーになった
サーバーの設定で自動更新が止まっている
容量不足で失敗した
制作時に自動更新を無効にしていた
といった可能性があります。
見るべきなのは「自動更新の設定」だけではなく、実際に修正版になっているかです。
3．修正版へアップデートする
対象バージョンであれば、バックアップを取ったうえで修正版へ更新します。
長期間更新していないサイトでは、WordPress本体だけを急に更新すると、古いプラグインやテーマとの組み合わせで不具合が起きることがあります。
自分で判断するのが難しい場合は、制作会社や保守担当へ相談してください。
4．表示やフォームの動作を確認する
更新後は、サイトが正常に動いているか確認します。
特に次の場所をチェックします。
トップページ
下層ページ
スマートフォン表示
お問い合わせフォーム
予約・申込機能
会員ログイン
ECサイトの購入機能
「更新完了」と表示されても、利用者側の画面まで正常とは限りません。
5．覚えのない管理者がいないか確認する
WordPressのユーザー一覧を開き、見覚えのない管理者アカウントが追加されていないか確認します。
不審なユーザーが見つかった場合は、すぐに削除する前に、
作成日時
登録されているメールアドレス
アクセスログ
ほかの変更内容
を確認できるよう、制作会社やセキュリティ担当へ相談するのが安全です。
証拠を消してしまうと、どこから侵入されたのか調べにくくなる場合があります。
6．不審なファイルや改ざんがないか確認する
次のような変化がないか確認します。
覚えのないページが増えている
知らない広告や文章が表示される
別のサイトへ勝手に転送される
検索結果に不審なページが出てくる
見覚えのないPHPファイルが置かれている
管理画面の設定が変更されている
WordPressの更新は、これから脆弱性を悪用されることを防ぐための対策です。
すでに不正なファイルを設置されている場合、WordPressを更新しただけでは、そのファイルが残る可能性があります。
そのため、更新と侵害確認は別の作業として考える必要があります。
「更新したつもり」で終わらせない
今回の対応は、
バックアップを取る
現在のバージョンを確認する
修正版へ更新する
サイトの動作を確認する
不審な管理者を確認する
改ざんや不正ファイルがないか確認する
ここまでで一つの作業です。
更新ボタンを押しただけで安心せず、更新後の確認まで行うことが大切です。
ホームページは「公開して終わり」ではありません
ホームページは、完成して公開したら終わりではありません。
WordPress本体、プラグイン、テーマなどは、その後も新しい問題が見つかり、修正版が公開されます。
企業サイトであれば、改ざんによって会社の信用やお客様に影響が出る可能性があります。
個人サイトであっても、不正なページの設置や、別の攻撃への悪用につながることがあります。
今回の注意喚起をきっかけに、
誰がサイトを管理しているのか
バックアップはどこにあるのか
緊急時に誰へ連絡するのか
定期的に更新を確認しているか
も一度見直しておくと安心です。
まずは、管理しているWordPressサイトのバージョンを確認するところから始めましょう。
