レンタルサーバー各社が緊急対応を継続中。WordPress運営者が今すぐ確認すべきこと

📖 推定読了時間：約7分

Bloggerとは別に、仕事やもう一つの趣味サイトでWordPressも使っている——そんな人は少なくないはずです。実は2026年7月に公表されたWordPressの重大な脆弱性「wp2shell」をめぐって、公表から1か月以上たった8月下旬になっても、主要レンタルサーバー各社が注意喚起や緊急対応を続けている状況が続いています。この記事では、その状況と、サイト運営者が今からでもできる確認事項を整理します。

「1か月前のニュース」が、今も現在進行形だった

セキュリティ関連のニュースは、公表された瞬間だけ話題になり、その後は忘れられがちです。しかし今回のwp2shell問題は少し様子が違います。脆弱性の公表から1か月以上が経過した2026年8月下旬になっても、レンタルサーバー各社が対応を継続しているのです。これは裏を返せば、今も対策が済んでいないサイトが相応数存在することを示していると言えるでしょう。

実は、条件が緩すぎる脆弱性だった

そもそもwp2shellとは何だったのかを振り返ると、その深刻さがよく分かります。この脆弱性は、WordPress CoreのREST APIバッチ処理における不具合と、データベースへの命令を不正に注入できるSQLインジェクションの不具合を組み合わせたもので、ログインも特定のプラグイン導入も一切不要で、標準的なWordPressサイトがそのまま攻撃対象になるという点が最大の特徴です。2026年7月17日にWordPress.orgが緊急のセキュリティリリース（バージョン7.0.2）を公開し、影響を受けるサイトには自動更新による強制アップデートも有効化されました。

それでも状況は収束していません。国内大手レンタルサーバーのXserverは、8月下旬になっても注意喚起の更新を続けており、攻撃の経路となるREST APIの特定エンドポイントへの通信をサーバー側で一時的に遮断する暫定措置を実施したと発表しています。ただし同社自身も明言している通り、これはあくまで応急処置であり、根本的な解決にはならないとされています。

「サーバー側が守ってくれる」に頼りきるのは危険

レンタルサーバー側の対策は心強い一方、それに安心しきってしまうのはリスクがあります。攻撃経路を塞ぐ暫定措置は、あくまで時間稼ぎの意味合いが強く、WordPress本体を最新バージョンに更新するという根本対応は、利用者自身が行う必要がある点は忘れてはいけません。

• ⚠️サーバー側の一時的な防御策は、根本的な解決にはならない
• ⚠️プラグインの有無にかかわらず、対象バージョンなら影響を受ける
• ✅修正版（6.8.6／6.9.5／7.0.2など）へのアップデートで根本対応が可能

複数のサイトを運営している人が、今すぐできること

WordPressで運営しているサイトがある人は、まず管理画面でバージョンを確認し、必要に応じて手動でのアップデートを検討しましょう。あわせて、サイト運営やセキュリティの基本を体系的に見直しておくと、こうした事態への備えがしやすくなります。Webサイト運営・SEOに関する入門書籍で改めて基礎を押さえておくのもよいでしょう。

万が一サイトが改ざんされた場合に備えて、コンテンツやカスタマイズ用コードのバックアップを日頃から取っておくことも重要です。画像や記事データは外付けSSDにこまめに退避し、テーマや独自プラグインのコードはGitHub・Gitの実践入門書籍を参考にバージョン管理しておくと、変更履歴を追いやすくなり、いざという時の復旧もスムーズになります。

まとめ

WordPressの重大な脆弱性「wp2shell」は、公表から1か月以上が経過した今もレンタルサーバー各社が対応を続けるほど、根の深い問題であることが分かります。サーバー側の防御はあくまで一時的な備えであり、最終的にはサイト運営者自身によるアップデートが欠かせません。Bloggerだけでなく他のCMSサイトも運営している人は、この機会に自分のサイトの状況を今一度確認しておくことをおすすめします。

※本記事の情報は2026年9月1日時点のものです。最新の対応状況は、ご利用のレンタルサーバーおよびWordPress公式の発表でご確認ください。