メインコンテンツへスキップ

Tech

WordPress本体に緊急の脆弱性「wp2shell」。今すぐ確認すべきことと守る手順

WordPress本体で、ログインなしにサイトを乗っ取れてしまう緊急の脆弱性「wp2shell」（CVE-2026-63030 / CVE-2026-60137、CVSS 9.8）が公表され、実際の攻撃も確認されています。
影響を受けるバージョン、自動更新が有効でも確認が必要な理由、いま取るべき対応手順を、WordPressサイトをお持ちの方向けに整理しました。

by FRONTIERLINE
  • #WordPress
  • #セキュリティ
  • #脆弱性
  • #wp2shell
  • #保守運用
  • #受託開発

WordPressをお使いのすべてのサイト運営者に、至急お知らせしたい内容です。
2026年7月、WordPress本体にログインなしでサイトを乗っ取れてしまう緊急の脆弱性「wp2shell」が公表されました。
深刻度はCVSSで最高クラスの9.8（緊急）。
すでに実際の攻撃も観測されており、WordPress公式は修正版への強制的な自動アップデートを展開しています。
この記事では、専門用語をできるだけ避けつつ、「自分のサイトは大丈夫なのか」「何をすればよいのか」を運営者目線で整理します。

wp2shell とはどんな脆弱性か

「wp2shell」は、WordPress本体に見つかった二つの不具合を組み合わせた攻撃手法の通称です。

一つ目が CVE-2026-63030（REST APIのバッチ処理に関する不具合、CVSS 9.8）、二つ目が CVE-2026-60137（データベース検索処理に関する不具合、いわゆるSQLインジェクション）です。
この二つを連鎖させることで、攻撃者はログイン情報を一切持たないまま、遠隔からサーバー上で任意のプログラムを実行できる状態になります。
専門的には「未認証リモートコード実行（RCE）」と呼ばれ、Webサイトの脆弱性の中でも最も危険な部類に入ります。

乗っ取りが成立すると、サイトの改ざん、来訪者を偽サイトへ飛ばす仕掛けの埋め込み、フィッシングの踏み台化、顧客情報の窃取、さらには同じサーバー上の他サイトへの被害拡大まで起こり得ます。
攻撃を再現するための実証コードはすでに公開されており、セキュリティ企業Patchstackは実際の攻撃試行を観測したと報告しています。
「まだ被害が出ていないから大丈夫」という段階ではありません。

あなたのサイトは影響を受けるか（バージョン早見表）

影響の有無は、お使いのWordPress本体のバージョンで決まります。
修正版は2026年7月17日に公開されています。

お使いのバージョン乗っ取りの危険更新すべきバージョン
7.0.0 〜 7.0.1あり（危険）7.0.2（最新）
6.9.0 〜 6.9.4あり（危険）6.9.5 以上
6.8.0 〜 6.8.5標準構成では成立しにくいが該当あり6.8.6 以上
7.1 Beta 1まであり（危険）7.1 Beta 2 以上

とくに 6.9系と7.0系は、追加の条件なしにそのまま乗っ取りが成立するため危険度が高く、最優先で更新が必要です。
6.8系は標準構成では成立しにくいとされますが、脆弱性そのものは含まれるため、更新をおすすめします。
WordPressは世界のWebサイトの約4割で使われており、対象は世界で5億サイト以上にのぼると報じられています。

自動更新が有効でも「確認」が必要な理由

「うちは自動更新にしているから平気」と考えたくなりますが、ここに落とし穴があります。

WordPress公式は今回、影響を受けるバージョンに対して強制的な自動アップデートを展開しました。
そのため多くのサイトはすでに修正版へ切り替わっています。
しかし、自動更新を明示的に無効化しているサイトや、テーマ・プラグインとの相性で更新処理が途中で止まっているサイト、サーバー側の設定で更新が制限されているサイトは、この網から漏れます。
制作時に「勝手に更新されると困る」という理由で自動更新を切っている案件は、実は珍しくありません。

つまり、自動更新の設定がどうであれ、いま一度、実際のバージョンを目で見て確認することが唯一確実な方法です。

いま取るべき対応（優先順）

以下の順で対応してください。
上から順に、緊急度の高い順に並べています。

まず、WordPress本体を修正版へ更新します。
管理画面の「ダッシュボード」→「更新」から、最新版（7.0.2、または6.9.5・6.8.6以上）へ上げます。
これが根本対策であり、他の緩和策はあくまで更新までの時間稼ぎに過ぎません。

次に、更新の前にバックアップを取得します。
データベースとファイル一式を控えておけば、万一更新後に不具合が出ても元に戻せます。

そして、更新後に全ページの表示と管理画面の動作を点検します。
トップページだけでなく、問い合わせフォーム・カート・会員機能など、動きのある部分は実際に操作して確認します。

すぐに更新できない事情がある場合の一時的な緩和策として、サーバーやWAF（Web用のファイアウォール）で特定のリクエスト（/wp-json/batch/v1 および ?rest_route=/batch/v1）を遮断する方法があります。
エックスサーバーやCloudflareなど、一部のサーバー・CDN事業者はネットワーク側で緩和策を提供しています。
ただし、これらはあくまで応急処置であり、本体の更新に置き換わるものではありません。

WordPressのバージョンを確認する方法

難しい操作は不要です。
WordPress管理画面にログインし、左メニューの「ダッシュボード」→「更新」を開いてください。
画面上部に「WordPressの最新バージョンを利用しています」と出ていれば、いったんは安心です。
「新しいバージョンがあります」と表示されている場合は、そこから更新を実行できます。
画面右下（フッター）にも現在のバージョン番号が小さく表示されています。

複数のWordPressサイトを運用されている場合は、1サイトずつすべて確認する必要があります。
「メインサイトだけ見て安心する」のが一番危険なパターンです。
長らく触っていないサイトほど、自動更新が切れていたり、古いプラグインで更新が止まっていたりします。

「ただ更新するだけ」で終わらせないために

今回のような緊急脆弱性への対応は、「更新ボタンを押すだけ」に見えて、実務では気をつけるべき点がいくつもあります。

本体を上げた瞬間に、古いテーマや相性の悪いプラグインが原因で表示が崩れる・管理画面が真っ白になることがあります。
ECサイトや会員サイトでは、決済・ログイン周りが止まると売上に直結します。
だからこそ、いきなり本番を更新するのではなく、バックアップ取得→検証環境での事前確認→本番更新→全機能の点検という手順を踏むことが、事故を防ぐ鍵になります。

自社での対応が難しい、複数サイトをまとめて安全に更新したい、そもそも今のバージョンが分からない——そうした場合は、無理に一人で抱えず、制作・保守会社に任せるのが結果的に一番早く、安全です。

WordPress 緊急アップデート対応

「今すぐ更新すべきか」の判断から、安全な更新代行まで。

今回の wp2shell 脆弱性 への対応を、バックアップ取得・検証環境での事前確認・本番更新・更新後の全ページ点検までワンセットで代行します。複数サイトをまとめての一括対応や、更新後の継続的な保守運用のご相談も承ります。「自分のサイトが影響を受けているか分からない」段階でのお問い合わせでも構いません。まずは現状の確認からご一緒します。

WordPressの更新・保守を相談する → サイトの状態を確認してもらう

まとめ

WordPress本体の緊急脆弱性「wp2shell」（CVE-2026-63030 / CVE-2026-60137、CVSS 9.8）は、ログインなしでサイトを乗っ取られる極めて危険なもので、すでに実際の攻撃も確認されています。
対象は6.9系・7.0系を中心に広範囲で、修正版は7.0.2・6.9.5・6.8.6以上です。
自動更新の設定に関わらず、いま一度すべてのサイトのバージョンを確認し、修正版へ更新してください。
更新時はバックアップと点検をワンセットで行うことが、事故を防ぐ最大のポイントです。

対応にご不安がある場合や、複数サイトをまとめて安全に更新したい場合は、お問い合わせフォーム までお気軽にご相談ください。
現状の確認からデプロイ後の点検まで、まとめて対応いたします。

参考・出典

本記事は、以下の公的機関・セキュリティ専門企業・報道各社の公表情報をもとに、2026年7月21日時点の内容として作成しています。
最新の状況は各リンク先をあわせてご確認ください。

よくある質問

Q. wp2shell（CVE-2026-63030）とは何ですか？ WordPress本体に見つかった緊急の脆弱性です。
二つの不具合（CVE-2026-63030とCVE-2026-60137）を組み合わせると、ログインしていない第三者が、遠隔からサーバー上で任意のプログラムを実行できてしまいます。
深刻度はCVSSで最高クラスの9.8（緊急）とされ、実際の攻撃も確認されています。

Q. 自分のサイトが影響を受けているか、どう確認すればよいですか？ WordPress管理画面にログインし、左メニュー「ダッシュボード」→「更新」を開くと現在のバージョンが表示されます。
6.9.0〜6.9.4、および7.0.0〜7.0.1をお使いの場合は乗っ取りの危険があるため、それぞれ6.9.5・7.0.2以上へ、7.0.2（最新）への更新を最優先で行ってください。

Q. 自動更新をオンにしていれば安心ですか？ 多くのサイトは自動更新で修正版へ切り替わっていますが、自動更新を無効化しているサイトや、テーマ・プラグインとの相性で更新が止まっているサイトは対象外です。
オンにしていても、必ずバージョンを目視で確認してください。

Q. 更新するとサイトが壊れないか心配です。
 本体の更新でテーマやプラグインとの相性問題が起き、表示崩れや管理画面エラーが出るケースはあります。
だからこそ、バックアップの取得・検証環境での事前確認・更新後の全ページ点検をワンセットで行うことが重要です。
不安な場合は制作・保守会社に代行を依頼するのが安全です。