WordPressの緊急脆弱性「wp2shell」とは？該当バージョンの確認とアップデート方法をわかりやすく解説

📖 推定読了時間：約5分

契約しているレンタルサーバー会社から、いつもと違うトーンの緊急メールが届いた――そんな経験をした方、この記事を読んでいる今、まさにそうなのではないでしょうか。2026年7月中旬、WordPressのコア機能に深刻な脆弱性が見つかり、多くのホスティング事業者が一斉に注意喚起を出す事態となりました。名付けて「wp2shell」。プラグインを何も入れていない、ごく普通のWordPressサイトでも狙われる可能性がある、と聞くとさすがに不安になりますよね。この記事では、wp2shellが何なのか、自分のサイトが対象なのか、そして今すぐ何をすればいいのかを整理します。

そもそも「wp2shell」って何が起きているのか

2026年7月17日、WordPress.orgは2つの脆弱性を修正するセキュリティリリース（WordPress 7.0.2）を公開しました。一つはREST APIのバッチ処理における処理の食い違いに関する不具合（CVE-2026-63030）、もう一つは記事一覧を絞り込むクエリのパラメータに関するSQLインジェクションの不具合（CVE-2026-60137）です。

それぞれ単体でも問題ですが、この2つを組み合わせることで、ログインもプラグインも必要とせず外部から任意のコードを実行できてしまう――つまりサイトを乗っ取られてしまう攻撃手法が成立します。この攻撃チェーンに、発見者が付けた通称が「wp2shell」です。

ここが今回一番注意してほしいポイントですが、この脆弱性は「認証不要」、つまりログインすらしていない第三者から攻撃が成立してしまいます。「プラグインを最小限にしているから大丈夫」「テーマもデフォルトのままだから安心」という考え方が通用しないタイプの脆弱性なのです。

自分のサイトは対象？バージョンを確認しよう

影響を受けるバージョンは、脆弱性の種類によって少し異なります。以下の表で整理しておきます。

バージョンの確認方法は簡単です。WordPress管理画面にログインし、左メニューの「ダッシュボード」→「更新」から、現在のバージョンとアップデートの有無を確認できます。

「自動更新されてるはず」を鵜呑みにしない方がいい理由

WordPress.org側は、対象バージョンに対して自動更新の仕組みを強制的に有効化する対応を取ったと発表しています。「じゃあ勝手に直ってるんじゃないの」と思いたくなりますが、ここで安心しきってしまうのは早計です。

• ⚠️レンタルサーバー側の設定やサーバー環境によっては、自動更新が正常に走らないケースがある
• ⚠️マイナーアップデートを無効化する設定を過去に自分で入れていた場合、自動更新の対象から外れている可能性がある
• ✅不安な場合は管理画面で直接バージョンを確認し、必要であれば手動で更新するのが一番確実

実際、この脆弱性は公表からわずか数日で実証コードが公開され、2026年7月21日には米国CISAの「悪用が確認された脆弱性カタログ（KEV）」にも追加されています。攻撃が理論上の話ではなく、実際に行われ始めているという段階です。「そのうち確認しよう」ではなく、今このタイミングで一度確認しておくことを強くおすすめします。

今すぐやるべきことチェックリスト

ここまでの内容を、実際にやるべきアクションとして整理しておきます。

なお、脆弱性の技術的な詳細やCVSSスコアの評価は情報源によって表記の幅があり、また今後新たな情報が追加される可能性もあります。この記事の内容は執筆時点（2026年8月）のものであり、最新の状況についてはIPA（情報処理推進機構）や利用しているレンタルサーバーの公式発表を確認することをおすすめします。

まとめ

wp2shellは、認証もプラグインも必要とせず、標準構成のWordPressサイトを対象にした深刻な脆弱性です。すでにCISAの悪用確認済みリストにも掲載されており、決して他人事とは言い切れない状況になっています。幸い対処法自体はシンプルで、WordPress本体を最新版（6.8.6／6.9.5／7.0.2以降）に更新するだけで対応が完了します。

まずは自分のサイトの管理画面を開き、現在のバージョンを確認するところから始めてみてください。もし古いバージョンのままだった場合は、バックアップを取った上で、できるだけ早めに更新しておくと安心です。