最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ お問い合わせをした人 ／ WordPress のサイトを持つ会社 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
会社のホームページの弱点を突かれ、お問い合わせフォームの情報が狙われた事故（9 月 14 日のお知らせ）
- 株式会社東産業の公式サイトが、サイトの弱点（脆弱性）を突かれて外から入り込まれた（不正アクセス）。対象の情報は、お問い合わせフォームで受け付けたお客様の情報だけ
- 東産業はお知らせで、IPA（情報処理推進機構）の WordPress の脆弱性「wp2shell」の注意喚起を案内している。弱点への対策はもう済んでいる
- いつ入られたか、どこまで影響したかは調査中。外への影響は今のところ確認されていない
どうすればいい？
よくある疑問と答え
-
自分は対象？
東産業の公式サイトのお問い合わせフォームから連絡したことがある人です。それ以外の情報は対象ではないとしています。
→ 発表の要点 -
気をつけることは？
東産業を装ったメールや電話が来るおそれがあります。書かれた URL や添付ファイルは開かず、個人情報も入れないでください。
→ お問い合わせをした人がやること -
原因の wp2shell とは？
WordPress の 2 つの脆弱性の組み合わせです。管理者の権限がなくても、外から攻撃者のプログラムを動かされるおそれがあります。なお、東産業は原因を wp2shell と書いてはおらず、IPA の注意喚起へのリンクを載せています。
→ 対象の版と修正版 -
WordPress のサイトを持つ会社は？
管理画面で WordPress の版を確かめます。自動更新で上がっていなければ、手動での更新を考えるよう IPA は呼びかけています。
→ 会社がやること - フォームの内容はどこに残る？ メールで届くだけでなく、サイトの中（データベース）にも溜まる設定のことがあります。溜まっていれば、入り込まれたときに一緒に見られます（この記事での整理）。
詳しくは：お問い合わせをした人 ／ WordPress のサイトを持つ会社 ／ 「WordPress の脆弱性 wp2shell」
この記事では、東産業の公式サイトへの不正アクセスについて、株式会社東産業の 9 月 14 日のお知らせと、そのお知らせが案内している IPA の注意喚起だけをもとに、何が起きたのかと、お問い合わせフォームを使ったことがある人・WordPress で会社のサイトを持つ中小企業がやることを整理します。
何が起きたか
9 月 14 日のお知らせで分かっていることです。株式会社東産業の公式サイトで、サイトの脆弱性を悪用した、外部の何者かによる不正アクセスが確認されました。
| こと | 発表の内容 |
|---|---|
| 対象の情報 | お問い合わせフォームで受け付けた、お客様の情報だけ |
| 突かれた弱点 | Web サイトの脆弱性。IPA が注意喚起を出しているとし、お知らせから IPA の「WordPress の脆弱性対策について（wp2shell）」へリンクしている |
| 対策 | サイトの脆弱性への対策は済んでいる |
| 調査中のこと | いつ入り込まれたか、影響がどこまで及んだか |
| 外への影響 | 今のところ確認されていない |
東産業は、調査で新しく知らせることが分かれば、すぐに公表するとしています。
お問い合わせをした人がやること
東産業の案内です。この件に関連して、東産業を装ったメールや電話が来るおそれがあるとしています。
- 東産業を名乗る不審な連絡が来たら、書かれた URL も添付ファイルも開かない。個人情報も入れない
- 不審な連絡が来たことは、東産業の公式サイトのお問い合わせフォームから知らせる。フォームは、届いたメールのリンクからではなく、自分で公式サイトを開いて使う（この記事での整理）
経緯
| 日付 | できごと |
|---|---|
| 2026 年 9 月 14 日 | 東産業が「公式サイトへの不正アクセスに関するお知らせ」を掲載。対象はお問い合わせフォームのお客様の情報だけで、時期と影響の範囲は調査中とした |
| 7 月 22 日 | IPA が WordPress の脆弱性（wp2shell）の注意喚起を公開。修正された版への更新を呼びかけた |
| 7 月 21 日（現地時間） | IPA の注意喚起の内容です。IPA によると、wp2shell の 2 つの脆弱性が、米国の政府機関（CISA）の「悪用が確認された脆弱性」の一覧に載った |
WordPress でホームページを持つ会社がやること
東産業の発表と IPA の注意喚起をもとに、WordPress で会社のホームページを動かしている中小企業向けにまとめます。今回の対象は、お問い合わせフォームで受け付けたお客様の情報でした。会社紹介のサイトでも、フォームがあればお客様の情報を預かっています。
- 管理画面（ダッシュボード）で WordPress の版を確かめる。IPA は、環境や設定によっては自動更新が有効でなかったり、更新に失敗していたりすることがあるとして、上がっていなければ手動での更新を考えるよう呼びかけている
- お問い合わせフォームの送信内容が、メールで届くだけでなく、サイトのデータベースにも保存される設定になっていないかを確かめる。保存しているなら、残す必要があるか、いつ消すかを決める（この記事での整理）
- 本体とプラグインの更新を、誰がいつ確かめるかを決める。自動更新に任せきりにしない（この記事での整理）
- 事故のときにお知らせを載せる場所と、問い合わせの窓口を決めておく。東産業のように「何が対象か」「何が調査中か」「お客様にしてほしいこと」を短く書けるよう、ひな形も用意しておく（この記事での整理）
技術的な詳細（サイトの担当者向け）
ここからは、WordPress のサイトを運用している担当者・制作会社向けです。東産業のお知らせがリンクしている IPA の注意喚起（2026 年 7 月 22 日）に書かれた内容を並べます。IPA は、国の情報セキュリティ対策を担う独立行政法人です。
| 観点 | 内容 |
|---|---|
| 脆弱性 | CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）と CVE-2026-63030。この 2 つの組み合わせが「wp2shell」と呼ばれる |
| 影響 | 標準構成で、管理者権限などを必要とせずに、攻撃者が遠隔でコードを実行できる（リモートコード実行）おそれがある |
| 影響を受ける版 | WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1。CVE-2026-60137 は 6.8.0〜6.8.5 も影響を受ける |
| 修正版 | WordPress 6.9.5、7.0.2。CVE-2026-60137 については 6.8.6 も修正版として公表 |
| 悪用の状況 | 2026 年 7 月 21 日（現地時間）、米国 CISA の KEV カタログ（Known Exploited Vulnerabilities Catalog・悪用が確認された脆弱性の一覧）に掲載 |
| 確認と対策 | 環境や設定によっては自動更新が無効、または更新に失敗していることがある。管理画面（ダッシュボード）で版を確かめ、上がっていなければ手動での更新を検討する |
この記事での整理です。版の確認は、管理画面の「ダッシュボード」→「更新」のほか、サーバーに入れる場合は WP-CLI の wp core version でも確かめられます。複数のサイトを預かっている制作会社は、サイトごとの版を一覧にしておくと、次の注意喚起のときにすぐ対象を絞れます。
修正版に上げる前に入り込まれていた可能性がある場合は、更新だけでは足りません。次の点も確かめておくと安心です（この記事での整理）。
- 管理者のユーザーの一覧に、覚えのないアカウントが増えていないか
- 入れた覚えのないプラグインや、テーマ・アップロード用のフォルダに見覚えのない PHP ファイルが置かれていないか
- サーバーのアクセスログに、ふだんと違う送信元からの大量の POST や、見覚えのないファイルへのアクセスがないか
- お問い合わせフォームの送信内容をデータベースに保存しているなら、その保存先と保存期間
次に読む：WordPress のプラグインの脆弱性の確かめ方 ／ ほかの会社の最近の事故の一覧
wp2shell の中身と確かめ方は 「WordPress の脆弱性 wp2shell」、フォームの安全な作り方は 「お問い合わせフォーム」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、WordPress の更新の確認やお問い合わせフォームの安全対策を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
