WordPressの世界で大きな騒ぎになっている脆弱性のニュースが流れてきました。

「wp2shell」と名付けられたこの脆弱性は、私たちのようにお客様のホームページをWordPressで制作・運用している立場からすると、決して他人事では済まされない深刻なものです。

すでに世界中で実際の攻撃が始まっています。

「wp2shell」とは何なのか

「wp2shell」はWordPress本体、つまりコアの部分に見つかった非常に危険な脆弱性です。

正式には「CVE-2026-63030」という番号で管理されています。

攻撃者がログインしていなくてもプラグインが入っていなくても、特別な設定がなくても標準的なWordPressのインストール状態そのものを狙って攻撃できてしまう点です。

専門用語では「認証不要のリモートコード実行」と呼ばれます。

赤の他人が自由にあなたのサーバー上でプログラムを実行できてしまうということです。

これほど前提条件のない攻撃が可能な脆弱性はそう頻繁にあるものではありません。

実は「2つの弱点」が組み合わさった攻撃

少し技術的な補足をさせてください。

「wp2shell」というのは1つのバグではありません。

2つの別々の弱点が組み合わさることで大きな被害を生み出す仕組みになっています。

1つ目が、先ほどお話しした「CVE-2026-63030」です。

これはWordPressのREST APIという仕組みの中にあるバッチ処理という機能の入り口の弱点です。

2つ目が「CVE-2026-60137」というデータベースへの不正な命令を送り込めてしまう弱点です。

この2つが鎖のようにつながることで攻撃者は最終的にサーバーを乗っ取れてしまうのです。

ちなみにこの脆弱性はセキュリティ研究者がAIを使って発見したそうで、時代の変化を感じずにはいられませんでした。

どのバージョンが危険なのか

完全な乗っ取り攻撃の対象となるのはWordPress 6.9.0から6.9.4まで、そして7.0.0から7.0.1までのバージョンです。

6.8.0から6.8.5までのバージョンも、データベースへの攻撃の弱点だけは残っているため油断はできません。

修正されたのは、6.9.5、7.0.2、そして6.8.6以降のバージョンです。

これらのバージョンにアップデートすれば今回の脆弱性への対策は完了します。

すでに攻撃は始まっています

この脆弱性が公表されたのは2026年7月17日。

それからわずか数日のうちに世界中で実際の攻撃が確認されています。

複数のセキュリティ企業がこの脆弱性を悪用した攻撃を実際に観測したと報告しています。

攻撃者は乗っ取ったサーバーに「Webシェル」と呼ばれる裏口のプログラムを仕込んでいるとのことです。

あるセキュリティ企業の調査によればWordPressを使う組織の6割が公表時点で少なくとも1つは脆弱なサイトを抱えていたそうです。

攻撃の手口を解説する情報もすでにインターネット上に出回っており、専門知識がなくても攻撃を試せる状況になってしまっています。

今この瞬間も対策をしていないサイトは狙われ続けているということです。

今すぐやっていただきたいこと

まず、WordPressを最新版にアップデートしてください。

6.9.5、7.0.2、あるいはそれ以降の安全なバージョンへの更新が、今回の一番確実な対策です。

WordPress側でも事態を重く見て対象となるサイトには強制的な自動更新を有効にしています。

更新されている場合は更新情報がメールで届いているかと思います。

さらに自動更新が本当に完了しているかどうかは必ず確認してください。

管理画面の「ダッシュボード」から「更新」を開けば今インストールされているバージョンを確認できます。

ここが6.9.5や7.0.2以降になっていればひとまず安心です。

アップデートはこれから先の攻撃を防ぐための対策です。

しかし、もしアップデート前にすでに攻撃を受けていた場合、仕込まれた裏口のプログラムはアップデートだけでは消えません。

公表前から運用していて更新が遅れてしまったサイトについては、テーマやプラグイン、アップロードされたファイルの中に不審なものが紛れ込んでいないか専門的な調査が必要になる場合があります。

心配な方は専門家にご相談ください。

ホームページは、作って終わりではありません。

お客様との大切な接点であり日々の運用と手入れがあってこそ、その価値を発揮し続けるものです。

私たちが大切にしている「ご縁マーケティング」という考え方もまさにここに通じています。

一度きりのお付き合いではなく、こうした緊急事態のときにこそそばで支え合える関係を築いていく。

今回のwp2shellのようなニュースをいち早くお客様にお届けし一緒に対策を進めていく。

それができるのは、日頃からのご縁があってこそだと私は信じています。

ご自身のサイトが大丈夫か不安な方、確認の仕方がわからない方はいつでもお気軽にご相談ください。