WordPressの緊急脆弱性「wp2shell」とは？今すぐ確認すべきバージョンと対処法

📖 推定読了時間：約6分

「自分のブログはプラグインもあまり入れていないし、そこまで狙われることはないだろう」――WordPressでサイトを運営している方の多くが、なんとなくそう思っているのではないでしょうか。しかし今回ご紹介する脆弱性は、その考えを見直す必要があるかもしれません。

2026年7月、WordPress本体に「wp2shell」と呼ばれる重大な脆弱性が公表され、緊急の修正版が公開されました。国内の主要レンタルサーバー各社では8月下旬になっても注意喚起が更新され続けており、今なお対応が必要な方が少なくないと見られます。この記事では、何が危険なのか、そして今すぐ何をすべきかを整理してご紹介します。

「wp2shell」とはどんな脆弱性か

wp2shellは、WordPress本体に存在した2つの脆弱性（CVE-2026-63030、CVE-2026-60137）を組み合わせた攻撃手法の通称です。一つはREST APIのバッチ処理におけるルート判定の不備、もう一つはデータベース検索機能の一部に存在したSQLインジェクションの脆弱性で、この2つを連鎖させることで認証を必要とせず、外部の攻撃者がリモートでコードを実行できてしまうという深刻な内容です。

WordPressの開発元は2026年7月17日、緊急のセキュリティリリースとしてバージョン7.0.2を公開し、この問題を修正しました。あわせて6.9.5、6.8.6も修正版として公開されています。

実は、ここが一番怖いポイントです

この脆弱性は、プラグインや特別なテーマを導入していない、標準構成のWordPressサイトでも影響を受けます。「余計なプラグインは入れていないから安全」という一般的な感覚が通用しない点が、今回のケースの厄介なところです。

さらに、脆弱性が公表された翌日には、攻撃手法を検証するためのコード（PoC）がインターネット上に多数出回ったと報告されています。セキュリティ企業からは、実際にこの脆弱性を悪用しようとする動きもすでに確認されているとの報告も出ており、悠長に構えていられる状況ではなさそうです。

今すぐやるべき3つのこと

• ✅管理画面でWordPressのバージョンを確認し、必要であれば最新版へ更新する
• ✅更新前に、念のためサイトデータのバックアップを取っておく
• ✅契約しているレンタルサーバーからの注意喚起や対応状況を確認する

なお、対象バージョンについてはWordPress.org側が自動更新による強制アップデートを有効化したとされていますが、サーバー環境によっては自動更新が無効になっている場合もあるため、ご自身の目で管理画面のバージョンを確認しておくことが確実です。あわせて、国内の主要レンタルサーバーの多くは、攻撃経路となる通信を遮断する暫定的な対策を実施していますが、各社とも「あくまで一時的な措置であり、WordPress本体の更新が根本的な解決策」と案内しています。サーバー側の対策に頼りきらず、自分自身での更新作業を済ませておきましょう。

更新作業の前には、万が一に備えてサイトデータをバックアップしておくと安心です。バックアップ先として外付けSSDを用意しておけば、サーバー上のバックアップ機能とあわせて二重に備えることができ、トラブル発生時の復旧もスムーズになります。

今回のように、CMSの脆弱性やセキュリティ更新への向き合い方に不安がある方は、Webサイト運営の基本を整理した入門書籍で、日頃の運用管理の考え方を体系的に学び直しておくのもおすすめです。今後同様の事態が起きた際にも、落ち着いて対応しやすくなります。

まとめ

wp2shellは、プラグインの有無にかかわらず標準構成のWordPressサイトが影響を受ける、認証不要のリモートコード実行につながる重大な脆弱性です。すでに悪用の兆候も報告されており、対象バージョンを利用している方は早急な対応が必要です。

まずは管理画面でご自身のWordPressのバージョンを確認し、該当する場合はバックアップを取ったうえで速やかに最新版へ更新しましょう。日頃からバージョン管理とバックアップを習慣づけておくことが、次に何か起きたときの一番の備えになります。

※本記事の内容は2026年8月時点で公表・報道されている情報をもとに整理したものです。対応状況やバージョン情報は変更される可能性があるため、必ずWordPress公式サイトおよびご利用中のレンタルサーバーの最新情報をご確認ください。