記事執筆者：認定SEOコンサルタント 三田健司
「WordPressは自動更新されているから安心」——そう思い込んでいる方に、まずお伝えしたいニュースがあります。2026年7月21日、WordPressコアに存在する2つの脆弱性を組み合わせた攻撃手法「wp2shell」が、実際に悪用されていることが確認されました。
この攻撃は、ログインすら必要としません。管理者アカウントのパスワードがどれだけ強固でも、プラグインを最小限に絞っていても、対象バージョンのWordPressコアそのものに穴があるため、無関係に突破されてしまいます。独立行政法人情報処理推進機構（IPA）も2026年7月22日付で緊急の注意喚起を出し、米国のサイバーセキュリティ・infrastructure security agency（CISA）は前日の7月21日、悪用が確認された脆弱性としてこの2件をKEV（Known Exploited Vulnerabilities）カタログに追加しました。
本記事では、この「wp2shell」がなぜ危険なのか、自社サイトが影響を受けるかどうかの確認方法、そして今日から実践できる対策までを、WordPress＋Elementorでのサイト制作を10年以上・延べ1,000件以上手がけてきた実務目線で整理してお伝えします。専門用語はできる限りかみ砕いていますので、Web担当者の方はもちろん、経営者の方にもご一読いただければと思います。
「wp2shell」とは何か｜WordPressコアを揺るがす2つの脆弱性
「wp2shell」とは、WordPressコアに存在する2つの脆弱性（CVE-2026-60137とCVE-2026-63030）を組み合わせた攻撃チェーンの通称です。単体のバグではなく、2つの弱点を順番に悪用することで、最終的にサーバー上で任意のコードを実行できてしまう点が特徴です。
1つ目のCVE-2026-63030は、WordPressのREST APIにある「バッチ処理」機能の不具合です。複数のリクエストをまとめて処理する仕組みの中で、URLの解析に失敗した際のエラー処理が正しく行われず、内部の処理順序がずれてしまいます。その結果、本来は別のリクエストとして扱われるべき内容が、意図しないハンドラーで実行されてしまうのです。
2つ目のCVE-2026-60137は、投稿一覧を取得するAPIの「author__not_in」というパラメータに存在するSQLインジェクションの脆弱性です。本来は数値の配列を受け取るはずのこのパラメータに、悪意のある文字列を紛れ込ませることで、データベースへの不正な命令を実行できてしまいます。
この2つを順番に悪用すると、攻撃者はログイン情報を一切持たない状態から、管理者権限を偽装し、最終的にサーバー上で任意のコードを実行するところまで到達できます。これが「wp2shell」という通称の由来であり、WordPress（wp）が乗っ取られ、攻撃者のシェル（shell、遠隔操作の入り口）になってしまうことを意味しています。
重要なのは、この攻撃チェーンがWordPressコアだけで完結する点です。特定のプラグインやテーマ、特殊なサーバー設定を必要としません。標準的な構成のWordPressサイトであれば、対象バージョンに該当する限り、原理的には影響を受けてしまいます。
なぜ今回は特に警戒が必要なのか
WordPressの脆弱性情報は日常的に公開されていますが、今回のwp2shellが特に警戒されている理由は3つあります。1つ目は認証不要であること。通常、深刻な脆弱性の多くは「管理者権限を持つユーザーが悪意ある操作をした場合」といった条件がつきますが、今回はその前提すら不要です。
2つ目は、脆弱性を実証するコード（PoC、Proof of Concept）がすでに公開されていること。攻撃の手順が広く知られている状態のため、悪用のハードルが低くなっています。3つ目は、CISAのKEVカタログに掲載されたこと自体が、机上の脆弱性ではなく、実際の攻撃で使われていることの裏付けになっている点です。
影響を受けるバージョンと今すぐ確認すべきこと
IPAの発表によれば、今回の脆弱性の影響範囲は次のとおりです。まずCVE-2026-63030とCVE-2026-60137の組み合わせによる遠隔コード実行の影響を受けるのは、WordPress 6.9.0から6.9.4まで、および7.0.0から7.0.1までのバージョンです。
加えて、CVE-2026-60137（SQLインジェクション単体）については、WordPress 6.8.0から6.8.5までのバージョンも影響を受けるとされています。一方、WordPress 6.8より前のバージョンは、これらの脆弱性の影響を受けないとIPAは説明しています。
修正済みのバージョンは、WordPress 6.8.6、6.9.5、7.0.2です。ご自身のサイトが該当するかどうかは、管理画面（ダッシュボード）の「更新」画面、または「概要」画面に表示されるバージョン番号で確認できます。
自社サイトのバージョンを確認する手順
確認手順はシンプルです。WordPress管理画面にログインし、左メニューの「ダッシュボード」→「更新」を開きます。ここに現在のバージョンが表示され、更新が必要な場合はその旨のメッセージとボタンが表示されます。
もし管理画面に入れない、あるいは管理を委託していて自分では確認できないという場合は、フッターやソースコードに表示されるバージョン情報から推測できることもありますが、確実なのは管理画面での確認、またはサーバー管理者・制作会社への問い合わせです。「今のバージョンはいくつですか」という一言で構いませんので、まずは確認することをおすすめします。
中小企業のサイト運用者が今日やるべき5つの対策
ここからは、実際に何をすべきかを具体的に整理します。専門知識がなくても実行できるよう、優先順位をつけてご紹介します。
1. バージョンを最新の修正版に更新する
最優先の対策は、WordPress本体を修正済みバージョン（6.8.6、6.9.5、7.0.2のいずれか、可能であれば最新の7.0.2系）に更新することです。WordPress.orgは今回、影響を受けるバージョンに対して自動更新による強制的なアップデートを有効化したと発表しています。
ただし「自動更新されているはず」という思い込みは禁物です。サーバーの設定や運用環境によっては、自動更新が無効化されていたり、更新処理自体が何らかの理由で失敗していたりする可能性があります。手順の項目でご案内したとおり、必ず管理画面でバージョンを目視確認してください。
2. 手動更新に失敗した場合の対応を用意しておく
自動更新が反映されていない場合は、管理画面から手動で更新ボタンを押すことで多くのケースは解決します。それでも更新できない場合は、サーバーのファイル権限の問題やプラグインとの競合が原因のことが多く、FTPやサーバー管理画面からの手動アップロードが必要になる場合もあります。この段階になったら、無理に自己判断で進めず、制作会社やサーバー会社のサポートに相談することをおすすめします。
3. バックアップの状態を確認する
更新作業そのものはリスクの低い作業ですが、万一に備えて直近のバックアップが存在するかを確認しておくと安心です。多くのレンタルサーバーには自動バックアップ機能がありますので、まずは管理画面でバックアップの取得日時を確認しましょう。バックアップが古い、または存在しない場合は、更新前に手動でのバックアップ取得を検討してください。
4. プラグイン・テーマも合わせて最新化する
今回の脆弱性はWordPressコア単体の問題ですが、これを機にプラグインやテーマの更新状況もあわせて確認することをおすすめします。古いプラグインが残っていると、別の脆弱性の侵入口になる可能性があるためです。管理画面の「ダッシュボード」→「更新」画面で、未更新のプラグイン・テーマが一覧表示されますので、優先順位をつけて対応してください。
5. 不審な挙動がないか確認する
すでに攻撃を受けている可能性を否定できない場合は、管理画面の「ユーザー」一覧に見覚えのない管理者アカウントが追加されていないか、投稿一覧に身に覚えのない記事や外部サイトへのリダイレクトが設定されていないかを確認してください。少しでも不審な点があれば、更新作業と並行して、サーバー会社やセキュリティ専門業者への相談を検討することをおすすめします。
自動更新は万能ではない｜見落とされがちな落とし穴
「WordPressは自動更新に対応しているから、放置していても安全」というイメージを持たれている方は少なくありません。実際、マイナーバージョンのセキュリティ更新は、初期設定のままであれば自動的に適用される仕組みになっています。
しかし、この自動更新には見落とされがちな条件があります。まず、サーバー側でcronジョブ（定期実行処理）が正常に動作している必要があります。アクセス数の少ないサイトでは、WordPress標準のcron機能（WP-Cron）がページ表示のタイミングでしか起動しないため、更新が遅れることがあります。
次に、独自のカスタマイズやセキュリティプラグインの設定によって、自動更新機能そのものが無効化されているケースです。過去に「意図しない更新でサイトが表示崩れを起こした」経験から、自動更新をオフにしている運用者の方も一定数いらっしゃいます。今回のような緊急性の高い脆弱性が公表された際には、この設定が裏目に出てしまいます。
さらに、レンタルサーバーによっては、WordPress本体の更新をサーバー側の管理機能で制御しており、WordPress管理画面からの操作とは別の仕組みで動いている場合もあります。「自動更新に任せているから大丈夫」ではなく、「実際に最新バージョンになっているかを自分の目で確認する」という一手間が、今回のような事案では特に重要になります。
制作会社やサーバー会社に任せている場合の注意点
サイトの保守を制作会社やサーバー会社に委託している場合でも、契約内容によっては「WordPress本体の更新」が保守範囲に含まれていないケースがあります。特に、サイト公開後は更新作業を行っていない、あるいは年に数回の点検のみという契約の場合、今回のような緊急対応が漏れてしまう可能性があります。
この機会に、自社サイトの保守契約に「セキュリティアップデートの適用」がどこまで含まれているかを確認しておくことをおすすめします。不明な場合は、遠慮なく委託先に問い合わせてよい内容です。
今後同様の脆弱性に備えるための運用体制
今回のwp2shellのような事案は、残念ながら今後も形を変えて発生します。一度対応して終わりにするのではなく、継続的にリスクを下げる運用体制を整えておくことが重要です。
脆弱性情報の入手経路を持っておく
IPAの「重要なセキュリティ情報」ページや、WordPress.org公式ブログの「リリースノート」は、無料で購読・確認できる一次情報源です。担当者のメールに定期的な確認をルーティン化するだけでも、対応の遅れを大きく減らせます。私たちアクセス・リンクでも、こうした一次情報を日々確認したうえで、クライアント様のサイト運用に関する助言を行っています。
常時SSL化・WAF（Webアプリケーションファイアウォール）の導入を検討する
個別の脆弱性対応に加えて、WAFのようにアプリケーション層での不正なリクエストを検知・遮断する仕組みを導入しておくと、未知の脆弱性が公表された場合でも一定の防御効果が期待できます。多くのレンタルサーバーでは、無料または低コストでWAF機能を有効化できるプランが用意されていますので、契約中のサーバーの管理画面で確認してみてください。
管理画面へのアクセスを制限する
今回の脆弱性は認証不要で悪用可能なため、管理画面へのログイン制限だけでは直接の防御にはなりません。しかし、IPアドレス制限や二段階認証の導入は、他の攻撃経路への備えとして引き続き有効です。あわせて見直しておくことをおすすめします。
更新作業を「誰かの仕事」にせず、担当と頻度を決める
中小企業のサイト運用でよく見られる課題は、更新作業の担当者が明確でなく、結果として誰も対応しないまま放置されてしまうケースです。月に1回など頻度を決め、社内の担当者、または委託先のどちらが更新確認を行うのかをあらかじめ明文化しておくことをおすすめします。私たちがご支援するお客様には、こうした運用ルールの整備からご提案することも少なくありません。
よくある質問（FAQ）
Q1. 自社サイトがWordPress以外（Wix、ペライチなど）の場合は関係ありませんか
今回ご紹介したwp2shellはWordPressコア固有の脆弱性であり、WordPress以外のCMSやホームページ作成サービスには直接関係しません。ただし、どのようなプラットフォームであっても、システムの更新やセキュリティ情報の確認は継続的に必要です。
Q2. すでに古いバージョンを使っている場合、今からでも間に合いますか
今すぐの更新をおすすめします。攻撃が確認されているとはいえ、すべてのサイトが即座に被害を受けるわけではありません。気づいた時点で速やかに対応することで、被害を防げる可能性は十分にあります。まずは管理画面でバージョンを確認し、該当する場合は速やかに更新してください。
Q3. すでに被害を受けているかもしれない場合はどうすればよいですか
見覚えのない管理者アカウントの追加、不審な投稿やリダイレクトなどの兆候がある場合は、専門家への相談を強くおすすめします。個人情報を扱うサイトの場合は、被害の内容によって関係者への周知や専門家への相談が必要になることもあります。判断に迷う場合は、まず制作会社やサーバー会社、セキュリティの専門家にご相談ください。
Q4. 更新作業によってサイトのデザインが崩れることはありますか
まれに、古いプラグインやカスタマイズとの相性により表示崩れが起きることがあります。事前にバックアップを取得したうえで更新を行い、更新後はトップページや主要ページの表示を確認することをおすすめします。不安な場合は、制作会社に更新作業を依頼するのも一つの方法です。
Q5. 今後もこうした緊急対応は発生しますか
WordPressに限らず、ソフトウェアである以上、新たな脆弱性が発見される可能性は今後も続きます。重要なのは、その都度慌てて対応するのではなく、日頃から更新状況を把握し、情報源を持っておくことです。本記事でご紹介した運用体制の整備を、この機会にぜひご検討ください。
まとめ｜「認証不要」の脆弱性だからこそ、今すぐの確認を
今回ご紹介した「wp2shell」は、WordPressコアに存在する2つの脆弱性（CVE-2026-60137、CVE-2026-63030）を組み合わせることで、ログイン情報なしに遠隔でのコード実行を可能にする深刻な攻撃チェーンです。2026年7月21日にはCISAのKEVカタログにも掲載され、実際の悪用が確認されています。
対象となるのはWordPress 6.8.0から6.8.5、6.9.0から6.9.4、7.0.0から7.0.1のバージョンです。修正版である6.8.6、6.9.5、7.0.2のいずれかへの更新が必要ですが、自動更新が有効化されているとはいえ、環境によっては反映されていない可能性があるため、管理画面での目視確認を必ず行ってください。
認証不要で悪用できる脆弱性である以上、「うちは狙われるような会社ではないから大丈夫」という考え方は通用しません。まずは今日、自社サイトの管理画面を開き、バージョンを確認するところから始めてみてください。
ホームページの保守・セキュリティ対策のご相談はアクセス・リンクへ
株式会社アクセス・リンクでは、全日本SEO協会認定SEOコンサルタントの資格を持つ代表・三田健司が、WordPress＋Elementorによるサイト制作を10年以上・延べ1,000件以上手がけてきた実績をもとに、SEO対策とあわせたサイトの保守・セキュリティ対応もご支援しています。
「今回の脆弱性が自社サイトに関係するか分からない」「更新作業を依頼できる先を探している」といったご相談も歓迎しております。現状を確認したうえで、優先順位をつけた対応方針をご提案いたします。
ご相談・お問い合わせはお問い合わせフォームより承っております。ホームページ制作やSEOコンサルティングとあわせたご相談も歓迎しております。
記事執筆・株式会社アクセス・リンク 代表取締役
Webサイト制作歴10年以上の経験を元にSEOコンサルティングを行い、延べ1,000件以上のサポート実績を誇ります。個人事業主や中小企業向けのホームページ制作やSEOコンサルティングを得意としています。
（社）全日本SEO協会 認定SEOコンサルタント
コメント