WordPress本体に、サイトを乗っ取られるおそれのある重大な脆弱性（セキュリティ上の弱点）「wp2shell」が見つかりました。対象バージョンでは、攻撃者がIDやパスワードを知らなくてもサイトへ侵入できる可能性があります。
2026年7月17日に修正版が公開されました。必要な対応は、WordPress本体の更新と、更新前に不正侵入されていなかったかの確認の2点です。
なぜサイトの乗っ取りにつながるのか
WordPressには、外部のサービスと情報をやり取りする機能と、サイト内のデータを検索する機能があります。wp2shellは、この2つの機能に見つかった問題を組み合わせて悪用する攻撃です。
- 外部からの通信を受け付ける機能の処理に関する問題（CVE-2026-63030）
- 記事や利用者情報を検索する機能に関する問題（CVE-2026-60137）
この2つが組み合わさると、ログインしていない攻撃者が自分のプログラムをサイト上で動かせる状態になり、サイトの乗っ取りにつながります。
WordPress公式はこの問題を「Critical（重大）」と評価し、影響を受けるサイトに対して強制的な自動更新も有効にしました。さらに米国政府機関CISAは、CVE-2026-63030を実際の攻撃に悪用されている脆弱性の一覧へ追加しています。すでに悪用が確認されているため、実際の攻撃を前提に対応する必要があります。
影響を受けるバージョンと修正版
今回、サイトの乗っ取りにつながる影響を受けるのは、次のWordPressです。
- WordPress 6.9.0から6.9.4
- WordPress 7.0.0から7.0.1
修正版はWordPress 6.9.5と7.0.2です。6.8系は2つの問題のうち一方の影響を受けるため、6.8.6への更新が必要です。WordPress公式によると、6.8より前のバージョンは今回の脆弱性の対象外です。ただし、古いWordPressを使い続けてよいという意味ではありません。
現在のバージョンはWordPressの管理画面から確認できます。自動更新を有効にしていても、サーバー設定やファイル権限、容量不足、過去のカスタマイズなどが原因で更新に失敗することがあります。
自動更新の設定だけでなく、実際のバージョン番号まで確認しておくことが大切です。
更新後は不審な変更が残っていないかも確認
修正版になっていることに加えて、不審な管理者やプログラムが残っていないかも確認する必要があります。
現在は修正版になっていても、更新前に侵入されていれば、不正な管理者アカウントやプログラムが残されている可能性があります。
復旧の現場では、普通に表示されているサイトの内部から不正なプログラムが見つかることがあります。見た目が正常であることだけでは、安全性を判断できません。
攻撃者は必ずしもトップページを書き換えるわけではありません。見た目を変えずに侵入し、迷惑メールの送信、他社への攻撃、情報の抜き取りなどに利用することがあります。
確認しておきたい5つの項目
- WordPress本体のバージョン
7.0系なら7.0.2以上、6.9系なら6.9.5以上、6.8系なら6.8.6以上か確認します。 - 不審な管理者アカウント
作成した覚えのない管理者が追加されていないか確認します。 - プラグインとPHPファイル
見覚えのない追加機能や、最近追加・変更されたプログラムファイルがないか調べます。 - アクセスログと更新履歴
外部からの不審な通信や、身に覚えのない更新がないか確認します。 - 復旧できるバックアップ
バックアップが存在するだけでなく、感染前の状態へ戻せるかを確認します。
不正侵入が疑われる場合に確認すること
不審な管理者やファイルが見つかった場合、管理画面のパスワード変更だけでは十分ではありません。攻撃者が別の入口となるプログラムを残していると、パスワードを変えても再び侵入される可能性があるためです。
WordPressを構成するファイルと保存データを調査し、不正なプログラムやアカウントを取り除く必要があります。そのうえで、管理者パスワードや外部サービスとの接続情報などを変更します。状況によっては、被害を受ける前のバックアップから復旧する判断も必要です。
定期的なメンテナンスを
WordPressを会社や店舗のWebサイトとして使う場合は、定期的な更新と状態確認が必要です。これはWordPressに限らず、インターネット上で動くシステムに共通します。
今回のwp2shellは、WordPressが危険だから起きたという話ではありません。脆弱性が修正された後も確認せず、古い状態のまま使い続けることが危険なのです。
ホームページが普通に表示されていることと、安全であることは別です。
影響を受けるバージョンを使用していた場合は、修正版への更新と、不審な変更が残っていないかの確認を一組で行うことをおすすめします。
参考情報
