WordPressの緊急脆弱性「wp2shell」の注意喚起とあわせて確認を

ホームページをWordPressで運営しているすべての方に、今すぐ確認していただきたい重大なお知らせがあります。

2026年7月17日、WordPressは認証不要でサイトを乗っ取られる可能性がある深刻な脆弱性を修正した緊急セキュリティリリース「WordPress 7.0.2」を公開しました。

この脆弱性は、プラグインを一切使っていない標準構成のサイトでも、ログインパスワードを知らなくてもサイトを乗っ取られる恐れがある内容です。

これらの脆弱性は2026年7月21日（現地時間）、CISAのKEVカタログ（Known Exploited Vulnerabilities Catalog）にも、悪用された脆弱性として掲載されました。

まずは自分のサイトのWordPressバージョンを今すぐ確認してください。この記事では、2026年7月の緊急脆弱性の詳細・対応手順・日常的なWordPressセキュリティ対策まで、正確な情報をもとに解説します。

【緊急】2026年7月のWordPress重大脆弱性「wp2shell」

何が起きたのか

2026年7月17日（現地時間）、WordPressで認証不要のリモートコード実行（RCE）につながる重大な脆弱性「CVE-2026-63030」「CVE-2026-60137」が見つかったと公表されました。これらの脆弱性を組み合わせる攻撃チェーンは「wp2shell」と呼ばれています。

1件は深刻度「Critical」（緊急）と評価された認証不要のリモートコード実行（RCE）の脆弱性（CVE-2026-63030）で、REST APIのバッチ処理エンドポイントを悪用されると、ログインやユーザーの操作なしに攻撃者が任意のコードを実行できる恐れがあります。もう1件は「High」（高）と評価されたSQLインジェクションの脆弱性（CVE-2026-60137）で、細工した入力によってデータベースへのクエリを改ざんされる可能性があります。

影響を受けるバージョン

影響を受けるのは、RCEがWordPress 6.9以降、SQLインジェクションが6.8以降を使うWebサイトです。6.8より前のバージョンは影響を受けません。

修正版として提供されているバージョンは以下の通りです。

すでに実際の攻撃が確認されている

修正版の公開直後から技術的な詳細や概念実証コードが公開されたこともあり、複数のセキュリティ媒体が、公開翌週末から悪用の試みが観測されたと報じています。「まだ狙われていないから大丈夫」と考えるのではなく、すでに無差別スキャンの対象になっている前提で対応するのが適切です。

IPAも緊急注意喚起を発表

2026年7月22日、独立行政法人情報処理推進機構（IPA）は、WordPress Coreの脆弱性について緊急の注意喚起を公開しました。

IPAは今回の脆弱性について、自動更新によってバージョンアップされているかどうかを確認し、バージョンアップされていない場合には手動でのバージョンアップを検討するよう呼びかけています。

今すぐ取るべき対応

① WordPressのバージョンを今すぐ確認する
管理画面の「ダッシュボード」→「ホーム」または「更新」からバージョンを確認してください。WordPress 6.8以降を使っている場合は対応が必要です。

② 修正済みバージョンにアップデートする
WordPress 7.0.2・6.9.5・6.8.6のいずれかに更新してください。

③ 自動更新が適用されているか確認する
WordPressは深刻度を踏まえ、対象のWebサイトへの強制自動更新を有効にしました。ただし、自動更新が無効になっているサイトは手動での対応が必要です。

④ アップデート前にバックアップを取得する
バージョンアップ後に不具合が発生した場合に備え、必ずバックアップを取得してからアップデートしてください。

WordPressのセキュリティリスクの実態

今回の「wp2shell」のような重大脆弱性は決して珍しいことではありません。WordPressは世界中のWebサイトの約43%以上で使われている最も普及したCMSですが、その普及度の高さゆえに悪意のある攻撃者にとって最も狙いやすいターゲットでもあります。

主な攻撃パターン

ブルートフォース攻撃（総当たり攻撃）
ログインページに対して、IDとパスワードの組み合わせを大量に試みる攻撃です。「admin」という管理者IDと簡単なパスワードを使っているサイトは特に狙われやすくなっています。

プラグイン・テーマの脆弱性を突いた攻撃
古いバージョンのプラグイン・テーマには脆弱性が存在することがあります。更新されていないプラグインの脆弱性を悪用してサイトに不正アクセスするケースが多く発生しています。

SQLインジェクション
今回の「wp2shell」でも確認されたように、データベースへの不正なクエリを注入して情報を盗み出したり、サイトを改ざんしたりする攻撃です。

マルウェアの埋め込み
不正アクセス後にマルウェアを埋め込み、訪問者のパソコンにウイルスを感染させたり、サイトをフィッシング詐欺の踏み台に使ったりするケースがあります。

WordPressのセキュリティ対策｜今すぐ取り組む8つの施策

対策①｜WordPressを常に最新バージョンに保つ

今回の「wp2shell」が示すように、WordPressのバージョンアップを怠ることは極めて深刻なリスクにつながります。マイナーアップデート（セキュリティリリース）は自動更新を設定しておくことをおすすめします。

確認すべきこと

• 管理画面「ダッシュボード」→「更新」でアップデートの有無を確認する
• マイナーアップデートの自動更新を有効にする
• メジャーアップデートはバックアップ後に実施する
  
  

対策②｜プラグイン・テーマを定期的に更新する

使用しているすべてのプラグイン・テーマを定期的に更新することが重要です。更新が長期間止まっているプラグインは脆弱性が放置されている可能性があります。

確認すべきこと

• 管理画面「プラグイン」一覧で更新が必要なものを確認する
• 使っていないプラグイン・テーマは必ず削除する（無効化だけでは不十分）
• 新しいプラグインを追加する前に、更新頻度・レビュー・インストール数を確認する
  
  

対策③｜管理者IDとパスワードを強化する

「admin」という管理者IDと単純なパスワードの組み合わせは、ブルートフォース攻撃に対して極めて脆弱です。

設定すべきこと

• 管理者IDを「admin」以外のものに変更する
• パスワードは12文字以上・英数字・記号を混在させた複雑なものにする
• 複数のサイトで同じパスワードを使い回さない
  
  

対策④｜二段階認証（2FA）を導入する

パスワードが漏洩した場合でも、二段階認証を設定していれば不正ログインを防げます。「WP 2FA」「Google Authenticator」などのプラグインで簡単に設定できます。

対策⑤｜ログイン試行回数を制限する

ブルートフォース攻撃を防ぐために、一定回数以上のログイン失敗でアクセスをブロックする設定を行います。「Limit Login Attempts Reloaded」などのプラグインで対応できます。

対策⑥｜定期的なバックアップを取得する

どれだけ対策を行っても100%の安全はありません。万が一のトラブル時に素早く復旧するために定期的なバックアップが不可欠です。

バックアップのポイント

• バックアップの頻度：更新頻度に合わせて毎日〜週次
• 保存先：サーバー上だけでなく外部ストレージにも保存する
• 定期的に復元テストを行い、バックアップが正常に機能するか確認する
• プラグイン例：BackWPup・UpdraftPlusなど
  
  

対策⑦｜セキュリティプラグインを導入する

代表的なセキュリティプラグイン

Wordfence Security：世界で最も使われているセキュリティプラグイン。ファイアウォール・マルウェアスキャン・ログイン保護機能を提供
SiteGuard WP Plugin：日本語対応の国産セキュリティプラグイン。ログインページのURL変更・画像認証・ログイン履歴の確認が可能

対策⑧｜SSL対応とPHPバージョンの確認

URLが「https://」から始まっているかを確認するとともに、サポートが終了した古いPHPではセキュリティ更新が提供されません。WordPressだけ最新版でも、PHPが古いままではリスクが残る可能性があります。利用中のテーマやプラグインとの互換性を確認しながら、PHPも最新の安定版に保つことが重要です。

日常的な運用ルール

セキュリティ対策は一度やって終わりではなく、継続的な運用が重要です。

月次で確認すること

• WordPress本体・プラグイン・テーマのアップデート確認・適用
• バックアップが正常に取得されているかの確認
• セキュリティプラグインのログ確認（不審なアクセスがないか）
  
  

随時確認すること

• 退職者・担当変更時にはアカウントを速やかに削除・パスワードを変更する
• 管理者アカウントを複数人で共有しない（担当者ごとに個別アカウントを作成）
• IPAやWordfenceなどのセキュリティ情報サイトで新しい脆弱性情報を定期的にチェックする

保守管理を外部に依頼する選択肢

「自社でのセキュリティ管理を継続するのが難しい」という場合は、制作会社や保守管理会社への依頼を検討しましょう。今回の「wp2shell」のような緊急脆弱性が発生した際にも、専門会社であれば迅速に対応してもらえます。

保守管理会社への依頼で対応してもらえる主な内容は以下の通りです。

• WordPress本体・プラグイン・テーマの定期アップデート
• 定期バックアップの取得・管理
• セキュリティ監視・不正アクセスの検知・対応
• 緊急脆弱性発生時の迅速な対応
• 万が一のトラブル時の復旧対応

保守管理の費用は一般的に月額5,000円〜30,000円程度が相場です。特に茨城県内の地域密着型の保守管理会社であれば、緊急時も迅速に対応してもらいやすいというメリットがあります。

まとめ｜2026年7月の「wp2shell」は今すぐ対応を

WordPressのセキュリティ対策について重要なポイントを整理します。

【2026年7月の緊急対応事項】

• WordPress 7.0.2・6.9.5・6.8.6が緊急のセキュリティリリースとして公開されました。対象はWordPress公式のリリースノートにある通り2件の脆弱性で、プラグインを一切使っていない標準構成のサイトでも、ログインパスワードを知らなくてもサイトを乗っ取られる恐れがある内容です。
• WordPress 6.8以降を使用中のサイトは今すぐバージョン確認・アップデートが必要
• IPA・CISAともに緊急注意喚起を発表済み・実際の攻撃も確認されている

【日常的に取り組むべき8つの対策】

• WordPressを常に最新バージョンに保つ
• プラグイン・テーマを定期的に更新する
• 管理者IDとパスワードを強化する
• 二段階認証を導入する
• ログイン試行回数を制限する
• 定期的なバックアップを取得する
• セキュリティプラグインを導入する
• SSL対応とPHPバージョンを確認する

WordPressのセキュリティは「一度対策すれば終わり」ではありません。今回のような緊急脆弱性は今後も発生します。自社での対応が難しい場合は、専門の保守管理会社への依頼を積極的に検討してください。