最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 何が起きたか ／ 組織のサイトの担当者 ／ 技術的な詳細 ／ 経緯
ひとことで言うと
大学の学科や附属学校のサイトが、WordPress の弱点を突かれて書き換えられた事故（10 月 13 日の発表）
- 京都教育大学の学内のサーバーに外から入り込まれ、学科や附属学校など 6 つのサイトで、ページの一部が書き換えられた（改ざん）
- 原因は、サイトを動かす WordPress の弱点（脆弱性）「wp2shell」を悪用されたこと
- 9 月 4 日にすべてのサイトを元に戻した。このサーバーには個人情報を置いていなかったので、情報が漏れたことは確認されていない
どうすればいい？
よくある疑問と答え
-
どのサイトが書き換えられた？
家政科・理学科・教育学科心理学教室・附属高等学校・附属桃山中学校・附属幼稚園のサイトです。大学の代表のサイトではありません。
→ 何が起きたか - 個人情報は漏れた？ 漏れたことは確認されていません。このサーバーはページを公開するためのもので、個人情報や大事な情報を置いていなかったとしています。
-
原因は？
WordPress 本体の 2 つの脆弱性を組み合わせた「wp2shell」を悪用され、入り込むためのファイルを置かれました。
→ 脆弱性の番号と、影響を受ける版 - 今はサイトを見ても大丈夫？ 大学は 9 月 4 日に、すべてのサイトを元の状態に戻し、脆弱性に対応してから公開を再開しています。
-
自分の組織の WordPress は大丈夫？
管理画面で WordPress の版を確かめてください。wp2shell の修正が入った版より古ければ、すぐに更新します（この記事での整理）。
→ 担当者がサーバーで確かめること -
部署ごとにサイトがある組織は？
組織の名前で出しているサイトをすべて書き出し、担当者と使っている仕組みを一覧にします。更新されていない古いサイトは、直すか公開をやめるかを決めます（この記事での整理）。
→ 組織のサイトの担当者が見直すこと
この記事では、京都教育大学の Web サイトの改ざんについて、大学の公式の発表（10 月 13 日のお知らせ）だけをもとに、何が起きたのかと、学校・団体・会社などで組織のサイトを持つ担当者が見直すことを整理します。
何が起きたか
10 月 13 日のお知らせで分かっていることです。2026 年 7 月 22 日、大学の担当者が、学内のサーバーに怪しいアクセスが多いことに気づいて調べました。
その結果、6 つのサイトに入り込まれ（不正侵入）、ページの一部が書き換えられていると分かりました。大学は、この 6 つのサイトに外からアクセスできないようにしました。
| 項目 | 内容 |
|---|---|
| 改ざんされたサイト | 家政科・理学科・教育学科心理学教室・附属高等学校・附属桃山中学校・附属幼稚園の 6 サイト |
| 原因 | サーバーで使っていた WordPress の脆弱性（wp2shell：CVE-2026-60137、CVE-2026-63030）を悪用された |
| 入り込まれ方 | 脆弱性を使って、入り込むための PHP ファイルを置かれ、そのファイルから侵入された。その結果、サイトの中の一部のファイルが書き換えられた |
| ほかへの広がり | このサーバーから、ほかのサーバーやシステムへの被害の広がりは確認されなかった |
| 情報の漏えい | このサーバーはページを公開するためのもので、個人情報や機密性の高い情報を持っていなかった。漏えいは確認されていない |
9 月 4 日、大学は書き換えられたすべてのサイトを元の状態に戻し（リストア）、脆弱性に対応してから公開を再開しました。これからは、学外に公開しているサーバーの安全対策をあらためて確かめ、必要な対策と関係者への指導を進めるとしています。問い合わせ先は、大学のセキュリティ事故の対応窓口「京都教育大学 CSIRT」です。
組織のサイトの担当者が見直すこと
ここからは、京都教育大学の発表から読み取れることを、学校・団体・中小企業などで組織のサイトを持つ担当者向けにまとめたものです（この記事での整理）。今回書き換えられたのは、大学の代表のサイトではなく、学科や附属学校のサイトでした。部署ごとに作られたサイトは担当が分かれていて、更新の確認が届きにくいことがあります。
- 組織の名前で出しているサイト（部署・支店・関連団体・キャンペーン用など）をすべて書き出し、担当者と、使っている仕組み（WordPress など）を一覧にする
- WordPress を使っているサイトは、本体が wp2shell の修正が入った版になっているかを確かめる（版の早見は下の技術的な詳細に）
- 置いた覚えのないファイルや、知らないうちに書き換わったページがないかを、制作会社やサーバーの管理者と確かめる。見つけたら、そのサイトの公開を止めて調べる
- 更新されないまま残っている古いサイトは、更新するか、公開をやめるかを決める
次に読む：WordPress のサイトに管理者を勝手に作られた UpdraftPlus の件 ／ 公式サイトへの不正アクセスを公表した東産業の件
技術的な詳細（サイトの担当者・エンジニア向け）
ここからは、WordPress のサーバーを管理している担当者・エンジニア向けです。大学のお知らせから分かる点と、wp2shell について WordPress.org と開発元の勧告に出ている点を並べます。
| 観点 | 内容 |
|---|---|
| 使われた脆弱性 | CVE-2026-63030（REST API の処理の取り違え・深刻度 Critical）と CVE-2026-60137（SQL インジェクション）の組み合わせ。標準の構成で、管理者の権限がなくても遠隔でプログラムを実行できる可能性がある（開発元の勧告・IPA） |
| 影響を受ける版と修正版 | 7.0.0〜7.0.1 → 7.0.2、6.9.0〜6.9.4 → 6.9.5（2 つの組み合わせが影響）。6.8.0〜6.8.5 は CVE-2026-60137 だけが影響し、修正版は 6.8.6 |
| 悪用の状況 | 米国 CISA が 7 月 21 日に、2 つとも「悪用が確認された脆弱性」（KEV）の一覧に載せた |
| 大学のサーバーでの動き | 脆弱性を使って侵入用の PHP ファイルを置かれ、それを足がかりに侵入された。サイト内の一部のファイルが改ざんされた |
| 気づいたきっかけ | 学内のサーバーへの不審なアクセスが多いこと（7 月 22 日） |
| 復旧のしかた | 外部からのアクセスを止め、すべてのサイトをリストアし、脆弱性に対応してから公開を再開（9 月 4 日） |
WordPress.org は影響を受ける版のサイトに自動更新で修正をかけましたが、IPA は、環境や設定によっては自動更新が効いていない可能性があるとして、版を確かめるよう呼びかけています。そのあとも重大なセキュリティ更新が続いているので、今は最新版にしておきます。
サーバーで確かめること（この記事での整理）
- 管理画面の「ダッシュボード」→「更新」で WordPress の版を見る。複数のサイトがあるなら、すべてのサイトで見る
- 画像などを置くフォルダ（wp-content/uploads）に PHP ファイルがないか、7 月中旬以降に変わった PHP ファイルがないかを見る
- ユーザーの一覧に、身に覚えのない管理者が増えていないかを見る
- アクセスログで、REST API（/wp-json/ など）への見慣れない大量のアクセスがないかを見る
- 怪しい跡があれば、入られる前のバックアップから戻すか、本体を入れ直す。上書きの更新だけでは、攻撃者が足したファイルが残ることがある（WordPress.org の説明）
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 13 日 | 大学がお知らせで、不正侵入と改ざん、原因（wp2shell）、復旧の状況を発表 |
| 9 月 4 日 | 入り込まれたすべてのサイトを元に戻し、脆弱性に対応して、外への公開を再開 |
| 7 月 22 日 | 学内のサーバーへの怪しいアクセスがたくさん見つかり、調べ始めた。6 つのサイトの不正侵入と改ざんが分かり、外からのアクセスを止めた（調査とアクセスの停止の日付は、お知らせでは示されていない） |
自社で見直すこと
大学は、公開用のサーバーに個人情報や機密性の高い情報を置いていなかったので、情報の漏えいは確認されていないとしています。ここから、ふだんの備えとして次のことが言えます（この記事での整理）。
- 公開用のサーバーに大事な情報を置かない お問い合わせの内容や名簿などを、ホームページと同じサーバーにためたままにしない。必要なものは別の場所で管理し、いらないものは消す。
- 元に戻せるように備える 大学は、サイトを元の状態に戻して公開を再開した。サイトのバックアップを定期的に取り、そこから戻せるかを一度試しておく。
- 更新を止めない体制を決める WordPress の本体やプラグインの更新を、誰がいつ確かめるかを決める。担当が異動しても止まらないよう、一覧と手順を残しておく。
バックアップの取り方は 「WordPress のバックアップ」、ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、WordPress の更新や改ざんの確認、バックアップを、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
