最終更新：10 月 23 日 10:43（日本時間）
WordPress のセキュリティ更新や続報が出たら追記します。
すぐ見る：確かめること ／ サーバー会社の対応 ／ その後の更新
要点
WordPress の脆弱性 wp2shell（2026 年 7 月）
- WordPress 本体の 2 つの脆弱性の組み合わせで、管理者の権限がなくても、外からプログラムを実行される可能性があった。プラグインやテーマに関係なく影響を受ける
- 影響を受けるのは 6.9.0〜6.9.4 と 7.0.0〜7.0.1。2026 年 7 月 17 日に修正版（7.0.2・6.9.5 など）が出て、7 月 21 日には米国 CISA の「悪用が確認された脆弱性」の一覧に載った
- 自動更新が効いていないサイトもあるので、管理画面で版を確かめる。その後も重大な更新（7.1.2 など）が続いているので、今は最新版にしておく
この記事では、WordPress.org と開発元の勧告、IPA、米国 CISA、レンタルサーバー各社、被害を公表した組織の発表だけをもとに、wp2shell で何が起きたか、自社のサイトで何を確かめればよいかを整理します。
wp2shell とは
公式の発表で分かっていることです。IPA によると、WordPress 本体の 2 つの脆弱性（CVE-2026-63030 と CVE-2026-60137）を組み合わせたものが「wp2shell」と呼ばれ、標準の構成で、管理者の権限などがなくても、攻撃者が遠隔でプログラムを実行できる可能性が指摘されました。開発元の勧告では、REST API の処理の取り違え（CVE-2026-63030・深刻度 Critical）と SQL インジェクション（CVE-2026-60137）の組み合わせとしています。
| 系列 | 影響と修正版 |
|---|---|
| 7.0 系 | 7.0.0〜7.0.1 が影響を受ける（2 つの組み合わせ）。修正版は 7.0.2 |
| 6.9 系 | 6.9.0〜6.9.4 が影響を受ける（2 つの組み合わせ）。修正版は 6.9.5 |
| 6.8 系 | 6.8.0〜6.8.5 は SQL インジェクション（CVE-2026-60137）だけが影響。修正版は 6.8.6 |
| 6.8 より前 | wp2shell の影響は受けない（ただし、その後の脆弱性の修正のため最新版にする） |
WordPress.org は、深刻さを考え、影響を受ける版のサイトに自動更新の仕組みで強制的に更新をかけたとしています。一方で IPA は、環境や設定によっては自動更新が効いていなかったり、失敗していたりする可能性があるとして、版を確かめるよう呼びかけています。米国 CISA は 7 月 21 日に、2 つとも「悪用が確認された脆弱性」の一覧に載せました。
実際に出た被害
国内でも被害が公表されています。京都教育大学は 2026 年 10 月 13 日、7 月 22 日に不審なアクセスを検知し、学内の 6 つのサイトが wp2shell の悪用で侵入され、一部のページが改ざんされたと公表しました。侵入用の PHP ファイルが置かれていたとしています（9 月 4 日に復旧。情報の漏えいは確認されていないとしている）。また、ある企業は 9 月、公式サイトの脆弱性を悪用した不正アクセスで、お問い合わせフォームで受けた顧客の情報が対象になったと公表し、IPA の wp2shell の注意喚起を案内しています。
自社のサイトで確かめること
- 管理画面の「ダッシュボード」→「更新」で、WordPress の版を見る。今は 7.1 系の最新版（2026 年 10 月時点で 7.1.3）になっているかを確かめる
- 古いままなら、自動更新が止まっていないかを制作会社や保守の担当に確かめる。WordPress の開発者向けハンドブックは、設定ファイルで自動更新がすべて止められている場合などに、自動更新が動かないことがあるとしている
- 7 月中旬以降、身に覚えのない管理者ユーザーやファイル、ページが増えていないかを見る
- 怪しい形跡があれば、入られる前のバックアップから戻すか、本体を入れ直す。WordPress.org の「サイトがハッキングされた」の説明は、上書きの更新では攻撃者が足したファイルが残ることがあるため、本体は FTP などで入れ直すよう勧めている（バックアップの戻し方）
レンタルサーバー各社の対応
| サーバー | 対応 |
|---|---|
| エックスサーバー | 7 月 19 日に攻撃の経路への通信を遮断（暫定措置）。7 月末から影響を受ける版の WordPress を同社側で順次更新し、8 月 6 日に影響を受けない版のドメインの遮断を解除。痕跡を自分で確かめる手順も公開した |
| ConoHa WING・お名前.com | WAF（SiteGuard）を有効にしていれば、この攻撃の通信は自動で遮断されると案内（7 月 21 日）。本体の更新も呼びかけ |
| ロリポップ！・さくら・KAGOYA | 本体の更新を呼びかける注意喚起（さくらは、WordPress 本体の脆弱性はサポートの対象外としている） |
サーバー会社の遮断や WAF は時間かせぎで、本体の更新はサイトの持ち主か制作会社の仕事です。
その後も続いた WordPress のセキュリティ更新
| 公開 | 内容 |
|---|---|
| 10 月 6 日 | 7.1.3。セキュリティの修正 7 件 |
| 9 月 22 日 | 7.1.2。CVE-2026-87902 を修正。4.7.0〜7.1.1 が影響を受け、サーバーやテーマの条件がそろうと、ログインなしで外からプログラムを実行される可能性。9 月 25 日に米国 CISA の「悪用が確認された脆弱性」の一覧に載った。古い系列にも修正版がある |
| 9 月 17 日 | 7.1.1。セキュリティの修正 11 件 |
| 8 月 12 日 | 7.0.4。特定のサーバー環境で、投稿者以上の権限があると外からプログラムを実行できる脆弱性（CVE-2026-65640）などを修正 |
| 8 月 6 日 | 7.0.3。ログイン画面の脆弱性（CVE-2026-64638）などを修正 |
本体だけでなく、プラグインやサーバーの PHP の更新も同じように続きます。プラグインは 「プラグインの脆弱性」、PHP は 「PHP のバージョン」、続けて備える体制は 「ホームページの保守」 で整理しています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、WordPress の重大な更新を追い、版の確認と更新を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
