2026年7月17日、WordPress本体（コア）に深刻度「緊急」の脆弱性が公表されました。「wp2shell」と名付けられたこの問題は、ログインしていない第三者がサーバー上で任意のプログラムを実行し、サイトを乗っ取れるというものです。対象は2025年12月以降に配布された比較的新しいWordPress、具体的には6.9系と7.0系です。プラグインではなくWordPress本体の欠陥のため、「うちはプラグインを絞っているから安全」という理屈は通用しません。
この記事では、wp2shellが何なのか、どのバージョンが危ないのか、自分のサイトが該当するかの確認方法、今すぐやるべき更新手順、更新できないときの一時的な対策、すでに攻撃されていないかの確認ポイントまでを、WordPressに詳しくない運営者の方にも分かるように整理します。まず結論から書きます。対象バージョンを使っているなら、この記事を読み進める前に管理画面を開き、WordPressを最新版へ更新してください。
Contents
wp2shellとは WordPress本体の緊急脆弱性
wp2shellは、セキュリティ企業Searchlight CyberのAdam Kues氏が発見・報告し、命名した攻撃手法の呼び名です。単独の1つの穴ではなく、WordPress本体にある2つの脆弱性を組み合わせて成立します。
- CVE-2026-63030: REST APIのバッチ処理機能（複数のリクエストをまとめて送る仕組み）で、リクエストの並び順を細工すると入力チェックをすり抜けられる欠陥
- CVE-2026-60137: 投稿を検索する内部処理（WP_Query）の
author__not_inというパラメータに存在するSQLインジェクションの欠陥
この2つをつなげると、攻撃者は入力チェックをすり抜けてデータベースを不正に操作でき、最終的にサーバー上で任意のコードを実行できます。攻撃を受けたサイトには、外部から遠隔操作するための「Webシェル」と呼ばれる裏口プログラムが仕込まれることが確認されています。
なぜ「緊急」なのか
WordPressの脆弱性は毎月のように報告されますが、wp2shellが特に危険なのには3つの理由があります。
1つ目は、ログインが不要な点です。多くの攻撃は管理者のIDやパスワードを盗む段階が必要ですが、wp2shellは認証を一切必要としません。サイトのURLさえ分かれば、外部から細工したリクエストを送るだけで攻撃が成立します。
2つ目は、WordPress本体の欠陥である点です。世界のWebサイトの4割超がWordPressで作られており、その本体に穴があるということは、標準的な構成のサイトがそのまま対象になるということです。
3つ目は、乗っ取り後に何でもできる点です。任意コード実行はサイト改ざんの入口にすぎません。訪問者を偽サイトへ飛ばす、フィッシングページを設置する、他サイトへの攻撃の踏み台にする、顧客情報を抜き取るなど、被害はサイト単体にとどまりません。
影響を受けるバージョンと修正版
自分のサイトが対象かどうかは、使っているWordPressのバージョンで決まります。
| 使用中のバージョン | 状態 | 対応 |
|---|---|---|
| 7.0.0 〜 7.0.1 | 攻撃チェーンの対象（危険） | 7.0.2以上へ更新 |
| 6.9.0 〜 6.9.4 | 攻撃チェーンの対象（危険） | 6.9.5以上へ更新 |
| 6.8.0 〜 6.8.5 | SQLインジェクションのみ該当 | 6.8.6以上へ更新 |
| 6.8.6 / 6.9.5 / 7.0.2 以上 | 修正済み | 該当なし（念のため確認） |
6.9系と7.0系は2つの脆弱性が両方存在するため、ログイン不要の乗っ取りが成立します。もっとも危険な状態です。6.8系はSQLインジェクションの穴だけが該当し、それだけで即乗っ取りにはつながりませんが、放置してよい理由にはなりません。いずれの系統も、対応する修正版へ更新すれば解消します。
なお、この問題を受けてWordPress公式は、対象バージョンに対する強制自動更新を有効化しています。ただし自動更新は反映までに時間差があり、サーバーの設定によっては働かないこともあります。自動更新任せにせず、後述の方法で自分のサイトのバージョンを必ず確認してください。
まず確認すること 自分のサイトは該当するか
対応の前に、いま自分のサイトがどのバージョンで動いているかを確認します。
WordPressのバージョンを確認する
管理画面にログインできる場合は、次のいずれかで分かります。
- 管理画面のダッシュボードを開くと、右下のフッターに「バージョン ○.○.○」と表示される
- 左メニューのツール → サイトヘルス → 情報タブを開き、「WordPress」の項目を見る
- 左メニューのダッシュボード → 更新を開くと、現在のバージョンと更新の有無が表示される
ここに表示された番号を、前掲の表と照らし合わせてください。
Searchlight Cyberは、URLを入力するだけで影響の有無を判定できる無料のチェッカーを wp2shell.com で公開しています。管理画面に入れない場合や、外部から見た状態を確認したい場合に使えます。
自動更新が適用されているか確認する
強制自動更新が有効化されていても、実際に反映されたかは別問題です。バージョンを確認した結果が修正版（6.8.6 / 6.9.5 / 7.0.2以上）になっていれば適用済みです。まだ古い番号のままなら、自動更新を待たずに手動で更新してください。
対応手順 今すぐやるべき3ステップ
対象バージョンだった場合の手順です。順番に進めてください。
1. バックアップを取る（または最新のバックアップを確認する） 更新作業でまれに不具合が出ることがあります。作業前に、サイトのファイルとデータベースのバックアップがある状態にしておきます。保守サービスやレンタルサーバーの自動バックアップを使っている場合は、直近のバックアップが取れているかを確認します。
2. WordPress本体を更新する 管理画面のダッシュボード → 更新から「今すぐ更新」を実行します。同じ画面でプラグインとテーマの更新も溜まっていれば、あわせて更新しておくと安全性が上がります。
3. サイトの基本動作を確認する 更新後、トップページ、問い合わせフォーム、記事の表示など、主要なページが正常に動くかを一通り確認します。表示が崩れたりエラーが出たりした場合は、バックアップから戻したうえで原因を切り分けます。
すぐに更新できないときの一時的な緩和策
「更新すると他の機能が動かなくなる恐れがある」「検証してからでないと本番を触れない」といった事情ですぐに更新できない場合、被害を防ぐための一時的な措置があります。あくまでつなぎであり、最終的には修正版への更新が必要です。
- WAF（Webアプリケーションファイアウォール）で攻撃リクエストを遮断する。攻撃は
/wp-json/batch/v1と/?rest_route=/batch/v1という2つの経路を通ります。両方を遮断する必要があります。片方だけでは回避されます。 - REST APIの未認証アクセスを止める。ログインしていない状態からのREST APIリクエストを拒否する設定を入れます。ただしフォームや外部連携でREST APIを使っているサイトでは、正常な機能まで止まる可能性があるため、影響範囲の確認が必要です。
- Searchlight Cyberが提供する軽量プラグインを導入する。攻撃経路をふさぐための一時対策プラグインが配布されています。
これらはサーバー設定やプラグインの知識を要します。判断がつかない場合は、無理に設定を触らず、後述の相談先に対応を依頼してください。
すでに攻撃されていないかの確認
公表時点でフルの攻撃コード（PoC）は一般公開されていないとされていますが、部分的なコードや影響を調べるスキャナはすでにGitHubなどに出回り始めています。攻撃が本格化するのは時間の問題と考え、更新済みのサイトでも一度は痕跡を確認しておくのが安全です。主な確認ポイントは次のとおりです。
- アクセスログに
POST /wp-json/batch/v1やPOST /?rest_route=/batch/v1へのリクエストが記録されていないか。ただしこれらのログがあっても攻撃の成否まではログだけでは判断できません（バッチ機能は正常時もエラー時も同じ応答を返すため）。 - 身に覚えのない管理者アカウントが増えていないか。ユーザー一覧を確認します。
- インストールした覚えのないプラグインが追加されていないか。悪意あるプログラムがプラグインを装って設置されるケースがあります。
- サイトのファイルが改ざんされていないか。特に見慣れないPHPファイルが増えていないかを確認します。
これらのいずれかに心当たりがある場合、または判断がつかない場合は、更新だけで安心せず、専門家による調査を検討してください。乗っ取り後に仕込まれた裏口は、本体を更新しても残り続けます。
よくある質問
Q. プラグインやテーマを更新すれば直りますか 直りません。wp2shellはWordPress本体の脆弱性です。本体（コア）を修正版に更新する必要があります。
Q. セキュリティプラグインを入れていれば安全ですか それだけでは不十分です。WAF機能を持つセキュリティプラグインは攻撃を軽減できる可能性がありますが、根本対策は本体の更新です。プラグインを入れているからと更新を後回しにしないでください。
Q. 6.8系もサイト乗っ取りの対象ですか 6.8系（6.8.0〜6.8.5）はSQLインジェクションの脆弱性のみが該当し、それ単体でログイン不要の乗っ取りにはつながりません。ただし放置すべき状態ではないため、6.8.6以上への更新が必要です。
Q. 強制自動更新が有効なら、何もしなくてよいですか 自動更新は反映までに時間差があり、サーバー構成によっては働かないこともあります。自分のサイトのバージョンが修正版になっているかを必ず自分の目で確認してください。
Q. REST API全体を無効化すべきですか 推奨しません。REST APIは投稿フォームや管理画面の一部機能でも使われており、全体を止めるとサイトが正常に動かなくなる恐れがあります。攻撃経路を絞って遮断するか、本体を更新するのが正しい対応です。
まとめ
wp2shellは、ログイン不要でWordPressサイトを乗っ取れるWordPress本体の緊急脆弱性です。対象は6.9系・7.0系（および一部6.8系）で、修正版は6.8.6 / 6.9.5 / 7.0.2以上です。やるべきことは明確で、対象バージョンなら今すぐ本体を更新すること、更新できないなら攻撃経路を遮断すること、そしてすでに攻撃されていないか痕跡を確認することの3点です。
自分のサイトのバージョンが分からない、更新して不具合が出ないか不安、痕跡の確認方法が分からない、といった場合は、放置せず専門家に確認を依頼してください。モンゼンクリエイティブでは、WordPressサイトの状態を無料で診断するサービスを提供しています。バージョンの確認から更新作業、攻撃痕跡の調査、日々の保守までを含めて対応できます。「自分のサイトが該当するか判断がつかない」という段階でも、まずはご相談ください。
参考・出典
本記事は、以下の情報をもとに作成しています（いずれも2026年7月時点）。脆弱性情報は随時更新されるため、対応の際は各公式情報の最新版もあわせてご確認ください。
- Searchlight Cyber「wp2shell: Pre Authentication RCE in WordPress Core」（発見者による解説と無料チェッカー） https://wp2shell.com/
- GMO Flatt Security Blog「WordPressの深刻度『緊急』脆弱性 wp2shell の概要と対応指針」 https://blog.flatt.tech/entry/wp2shell_wordpress
- Wiz Blog「Exploitation in the Wild of wp2shell（CVE-2026-63030, CVE-2026-60137）」 https://www.wiz.io/blog/wp2shell-cve-2026-63030-cve-2026-60137
- BleepingComputer「WordPress Core “wp2shell” RCE flaws get public exploits, patch now」 https://www.bleepingcomputer.com/news/security/wordpress-core-wp2shell-rce-flaws-get-public-exploits-patch-now/
- 株式会社RevoTec「WordPress本体の脆弱性『wp2shell』にご注意ください」 https://revotec.jp/wordpress-wp2shell-cve-2026-63030/
- CCSI（サイバーセキュリティメディア）「WordPressコアに認証不要の重大な脆弱性『wp2shell』—対象バージョンと緊急対応」 https://ccsi.jp/13233/
