WordPressの重大な脆弱性「wp2shell」とは？サイト運営を外部に任せている事業者が確認すべきこと

2026年7月17日、WordPressに重大な脆弱性が見つかり、修正版が公開されました。

この問題は「wp2shell（ダブリューピーツーシェル）」と呼ばれ、条件に該当するWordPressサイトでは、管理画面のIDやパスワードを知らない第三者から攻撃される可能性があります。

WordPressを利用している企業や店舗などは、できるだけ早く対応状況を確認してください。

特に、ホームページの制作や管理を制作会社・保守会社に任せている事業者は、「外部に任せているから大丈夫」と判断せず、管理会社へ確認することが重要です。

wp2shellとは

wp2shellとは、WordPress本体に見つかった2つの問題を組み合わせた攻撃手法の名称です。

専門的には、次の2つの脆弱性が関係しています。

• CVE-2026-63030
• CVE-2026-60137

ただし、サイトを運営する事業者が、この名称や詳しい仕組みまで理解する必要はありません。

重要なのは、該当するWordPressを更新せずに使い続けると、第三者にサイトを操作される可能性があるという点です。

今回の問題では、攻撃者が事前にWordPressの管理者IDやパスワードを入手していなくても、外部から攻撃できる可能性があります。また、特定のプラグインだけに発生した問題ではなく、WordPress本体に関係する脆弱性です。

どのような被害が考えられるのか

wp2shellを悪用されると、攻撃者がWordPressサイト上で不正な処理を実行できる可能性があります。

分かりやすく言えば、ホームページを第三者に乗っ取られるおそれがあるということです。

被害の内容としては、次のようなものが考えられます。

• ホームページの内容を書き換えられる
• 身に覚えのない管理者アカウントを作成される
• 別の不正サイトへ転送される
• 不正な広告や迷惑なページを設置される
• ウイルスや不正プログラムを置かれる
• お問い合わせ情報などを盗み見られる
• 検索結果や企業の信用に悪影響が出る
• サーバー会社からサイトを停止される

実際の被害内容はサイトの構成によって異なります。

ただし、会社案内だけを掲載した小規模なホームページだから安全、アクセス数が少ないから狙われない、というわけではありません。

こうした攻撃は、特定の企業を狙って一件ずつ行われるとは限りません。インターネット上にあるWordPressサイトを自動的に探し、条件に該当するサイトへ広く攻撃が試されることがあります。

影響を受けるWordPressのバージョン

特に注意が必要なのは、次のバージョンです。

これらのバージョンでは、WordPressの標準的な構成でもwp2shellによる攻撃が成立する可能性があります。

WordPress 6.8.0から6.8.5にも関連する問題が含まれています。ただし、6.8系では標準構成のまま同じ攻撃が成立するわけではなく、プラグインやテーマなどに別の条件が必要とされています。とはいえ、6.8系についても修正版への更新が推奨されています。

更新後の目安は次のとおりです。

WordPress.orgは問題の深刻度を踏まえ、対象サイトに対する自動更新を有効にしました。

ただし、自動更新の設定やサーバー環境によっては、更新が完了していない可能性があります。自動更新を利用している場合も、実際のバージョンを確認する必要があります。

WordPressのバージョンを確認する方法

WordPressの管理画面にログインできる場合は、画面内の「ダッシュボード」や「更新」から現在のバージョンを確認できます。

管理画面に次のような表示が出ている場合は、アップデートが必要です。

• WordPressの新しいバージョンがあります
• 今すぐ更新してください
• WordPress 7.0.2に更新できます
• WordPress 6.9.5に更新できます

ただし、ホームページの管理を外部に任せている場合、自社の判断だけで更新しないほうがよいケースもあります。

WordPress本体を更新すると、古いプラグインやテーマ、独自に開発された機能との組み合わせによって、一時的に表示や機能に問題が出ることがあるためです。

制作会社や保守会社と契約している場合は、まず管理担当者へ連絡してください。

サイト運営を外部に任せている場合に確認すること

Webサイトの運営や保守を制作会社に任せている場合は、次の内容を確認してください。

1．現在のWordPressのバージョン

最初に確認したいのは、現在使用しているWordPressのバージョンです。

「最新版です」という回答だけでなく、可能であれば「7.0.2」「6.9.5」のように、具体的な数字を確認しましょう。

2．wp2shellへの対応が完了しているか

管理会社へ、今回のwp2shellへの対応状況を直接確認します。

単に「サーバー側で対策されています」という回答だけでは、十分とは限りません。

サーバー会社の対策は、攻撃を受けにくくするための一時的な措置である場合があります。根本的な対応は、WordPress本体を安全なバージョンへ更新することです。

3．更新前のバックアップがあるか

WordPress本体を更新する前には、サイトのファイルとデータベースのバックアップを取得するのが基本です。

次の内容を確認しましょう。

• 更新前のバックアップを取得しているか
• 問題が起きた場合に元へ戻せるか
• バックアップが正常に利用できる状態か
• バックアップが保存されている期間

「サーバーに自動バックアップがある」というだけでなく、復旧作業を誰が担当するのかも確認しておくと安心です。

4．更新後の動作確認を行ったか

WordPressの数字が新しくなっただけでは、対応完了とは言い切れません。

更新後には、最低限次の項目を確認する必要があります。

• トップページが正常に表示される
• 下層ページが正常に表示される
• スマートフォンでも表示できる
• お問い合わせフォームを送信できる
• 予約や申し込みの機能が動作する
• 管理画面へログインできる
• エラー表示が出ていない

ECサイト、予約サイト、会員サイトなどでは、決済やログインを含めた確認も必要です。

5．不正アクセスの痕跡を確認したか

WordPressを更新すれば、今後その脆弱性を利用される危険は抑えられます。

しかし、更新前にすでに侵入されていた場合、アップデートだけでは問題が解決しない可能性があります。

対応が遅れたサイトでは、管理会社に次のような確認も依頼しましょう。

• 身に覚えのない管理者ユーザーが追加されていないか
• 不審なファイルが設置されていないか
• WordPressのファイルが書き換えられていないか
• 不審なアクセスが記録されていないか
• 意図しない外部サイトへの転送がないか
• セキュリティサービスから警告が出ていないか

2026年7月19日時点では、侵害を判断するための具体的な共通指標は十分に公表されていません。そのため、サイトの構成やアクセスログを含めた個別の調査が必要になる場合があります。

管理会社へ送る確認文の例

ホームページの管理を外部へ任せている場合は、次のような内容で確認できます。

「WordPressの脆弱性wp2shellが公表された件について、当社サイトの対応状況をご確認ください。現在使用しているWordPressのバージョン、修正版への更新状況、更新後の動作確認、不正アクセスや改ざんの痕跡の有無についてご回答をお願いいたします。」

より具体的に確認する場合は、次の項目を加えます。

• 現在のWordPressのバージョン
• 更新を実施した日時
• 更新前のバックアップの有無
• 更新後に確認したページと機能
• 不審な管理者アカウントの有無
• ファイル改ざんの確認結果
• アクセスログの確認結果
• サーバー側で実施されている対策

エックスサーバーを使用していれば何もしなくてよい？

エックスサーバーでは、2026年7月19日午前6時30分ごろ、wp2shellの攻撃経路となる通信を遮断する暫定対策が実施されました。

対象となるサービスは、次の3つです。

• エックスサーバー
• XServerビジネス
• XServer for WordPress

通常のホームページの閲覧やWordPress管理画面の操作には影響しないとされています。

一方で、遮断された機能を利用する一部のプラグイン、テーマ、外部サービスとの連携、独自開発機能などが正常に動作しなくなる可能性があります。

ただし、このサーバー側の対応は一時的な対策です。

エックスサーバーも、根本的な解決にはWordPress本体のアップデートが必要だと案内しています。エックスサーバーを利用している場合でも、WordPressのバージョン確認と更新は必要です。

また、別のレンタルサーバーを利用している場合は、その会社が同じ対策を行っているとは限りません。利用しているサーバー会社のお知らせやサポート情報を確認してください。

自動更新されていれば安心とは限らない

WordPressには、本体を自動で更新する機能があります。

今回も対象となるバージョンに対して、自動更新による対応が進められました。

しかし、次のような場合は更新されていない可能性があります。

• 自動更新を無効にしている
• サーバーや管理会社が更新を制限している
• 更新処理の途中でエラーが発生した
• ファイルの権限などに問題がある
• 古い構成のため自動更新に失敗した
• 管理会社が動作確認のため更新を保留している

そのため、「自動更新の設定が有効か」ではなく、「実際に安全なバージョンへ更新されたか」を確認することが大切です。

今回の対応で事業者が行うこと

自社でWordPressを管理している場合は、バックアップを取得したうえで、WordPress本体を修正版以降へ更新してください。

外部の会社に管理を任せている場合は、次の内容を担当者へ確認します。

1. 自社サイトがWordPressを使用しているか
2. 現在のWordPressのバージョンはいくつか
3. wp2shellへの更新対応が完了しているか
4. 更新後の表示・フォーム・予約機能を確認したか
5. 不正アクセスや改ざんの痕跡を調査したか
6. 更新前のバックアップが保存されているか

管理会社から「対応済み」と連絡を受けた場合も、更新後のバージョンと確認内容を記録として残しておくことをおすすめします。

今後も同じ問題を防ぐために

WordPressは、世界中で利用されている便利なシステムです。

一方で、WordPress本体、テーマ、プラグインには、今後もセキュリティ上の問題が見つかる可能性があります。

重要なのは、WordPressを使わないことではなく、問題が公表されたときに対応できる管理体制を整えておくことです。

サイト管理を外部に任せる場合は、契約内容についても確認しておきましょう。

「ホームページを作ってもらったこと」と「安全に管理してもらっていること」は別です。

制作後の保守契約がない場合や、契約内容が不明確な場合は、今回を機に管理体制を整理することをおすすめします。

まとめ：WordPressの管理を外部に任せていても対応状況は確認しよう

wp2shellは、WordPress本体に見つかった重大な脆弱性です。

今回の内容で押さえておきたいポイントは、次のとおりです。

• WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1は特に注意が必要
• 対応には、WordPress本体を修正版以降へ更新する必要がある
• サーバー会社の暫定対策だけでは、根本的な解決にならない場合がある
• 自動更新が有効でも、実際に更新されたか確認する必要がある
• 更新後は、表示やフォーム、予約機能などの動作確認も必要
• 対応が遅れた場合は、不正アクセスや改ざんの有無も確認する
• サイト管理を外部に任せている場合は、管理会社へ対応状況を確認する

今回のような脆弱性が見つかった際に、事業者自身が専門的な作業を行う必要はありません。

ただし、外部の管理会社へ任せている場合でも、誰が対応し、どこまで確認したのかを把握しておくことは重要です。

まずは管理会社や制作会社へ連絡し、WordPressのバージョン、更新状況、動作確認、不正アクセスや改ざんの有無を確認しましょう。

WordPressは更新して終わりではなく、継続して安全に運用できる管理体制を整えることが大切です。