「余計なプラグインは入れていないから、WordPressのニュースは、うちには関係ない。」
「制作会社に任せているし、更新も自動だと聞いている。」
WordPressは、世界中のホームページで使われているCMS(コンテンツマネジメントシステム)です。
中小企業のホームページでも、本当によく使われています。
ホームページを作ったあとは制作会社に任せて、本業に集中する。経営者として、それはごく自然な判断だと思います。
結論から言うと、2026年7月の「wp2shell」は、プラグインではなくWordPress本体の弱点で、管理者のパスワードがなくても外からサイトを乗っ取れる可能性がある、深刻な脆弱性でした。
修正版は、すでに出ています。ただ、「更新されたはず」と「更新されたことを確かめた」は、別のものです。
この記事では、自社のサイトがアップデートの対象かどうかの確かめ方と、これからの守り方をお伝えします。管理画面に入れない会社でも、確かめられる方法を書いたので、そのまま使ってください。
最後に、我々自身が更新で苦労した話もしています。
- wp2shellで何が危険だったのか。なぜ「プラグインを入れていないから安心」が通じなかったのか
- 管理画面に入れなくても、自社のサイトが対象かどうかを確かめる方法
- 被害を受けていないかの点検ポイント
- 本体の更新だけでは足りない理由と、多層の守り方。保守契約で確かめること
WordPressを狙う攻撃には何があるのか
WordPressへの攻撃は、大きく「管理者のログインを破る」「WordPressの弱点を突く」の2つに分かれます。
2014年8月22日に、当時、Gumblar（ガンブラー）だと思っていたマルウェアにサーバーへ入り込まれ、AIのない時代に筆者が手作業で行った駆除の画像。当時、「ガンブラー」「.htaccess」「ソース表示」「海外サイトへの転送」を調べて駆除していました。消しても消しても、転送用の.phpファイルやフィッシングのページが、wp-contentやuploadsのフォルダに作られていきました。(この1枚だけ残っていた。)
| 攻撃の種類 | 中身 | 主な入口 |
|---|---|---|
| ログインを破る | パスワードを総当たりで試す、他から漏れたパスワードを試す | 管理画面のログイン |
| サイトの弱点を突く | 本体・プラグイン・テーマの脆弱性を使って入り込む | 古い本体やプラグイン |
| その後の悪用（乗っ取られた後） | 改ざん、偽サイトへの誘導、迷惑メールの送信、他への攻撃の踏み台 | 乗っ取られたサイト全体(先ほどのガンブラーも一例) |
乗っ取られたホームページは、自社の信用を落とすだけでなく、見に来たお客さまを騙すためのサイトに改ざんされます。むかつきます。
自社が被害者なのに、加害の道具にされてしまう。
これが、ホームページ・WordPressの乗っ取りのいちばん辛いところであり、経営者から考えると腹立たしい所です。
そして、どちらの攻撃も、人間が1社ずつ狙っているわけではありません。別に狙うのは御社のサイトではなくてもいい。
機械がインターネット全体をスキャンして回り、古いWordPressを見つけては順番に試していきます。
スキャンする時に、会社の規模は見ていません。
2026年に公表された「wp2shell」とは
wp2shellは、WordPress本体の2つの脆弱性を組み合わせることで、外部からプログラムを実行できてしまう攻撃です。
IPAは2026年7月22日、この件について注意喚起を公開しました。ポイントをまとめると、次のとおりです。
- 対象は、WordPress本体の2つの脆弱性（CVE-2026-60137、CVE-2026-63030）
- 標準の構成のまま、管理者権限などがなくても、遠隔でプログラムを実行される可能性がある
- 攻撃を実証するプログラムが公開されており、悪用が広がるおそれがある
- 米国のCISAが、実際に悪用が確認された脆弱性の一覧（KEV）に7月21日付で掲載
専門的には、REST API（外部からデータをやり取りする窓口）の処理の混同と、データベースへの不正な命令（SQLインジェクション）の組み合わせと解説されています。
いま、もし経営者の方が、AIでブログ記事を書いて、WordPressで自動で入稿できる仕組みを、制作会社に作ってもらっていたら、REST APIが使われている可能性もあります。ただ、REST APIはWordPressに標準で備わっているので、自動入稿をしていなくても、対象のバージョンなら影響を受けます。
プラグインではなく、WordPress本体の脆弱性だった。
ここが、今回の大切なところです。WordPress本体だから安全、というわけではありません。
「余計なプラグインは入れていないから安心」とは、言えなかったんです。
「本体はいつも自動で更新されているんでしょ？」と思うかもしれません。
自動更新の仕組みは、とても心強いものです。たしかに、多くのサイトでは修正版が自動で入っています。
それでも、自動更新が「効いていない」サイトは、思っているより多くあります。
なぜ効いていないのか。その理由は、このあと説明します。
自社のサイトが対象かどうかの確かめ方
WordPressの管理画面にもしログインができるなら、本体のバージョンを確かめてください。
IPAの注意喚起による、対象と修正版は次のとおりです。
| 対象のバージョン | 修正版 |
|---|---|
| 6.9.0 〜 6.9.4 | 6.9.5 以降 |
| 7.0.0 〜 7.0.1 | 7.0.2 以降 |
| 6.8.0 〜 6.8.5（CVE-2026-60137のみ） | 6.8.6 以降 |
※上記は2026年7月のwp2shellに対する修正版です。2026年11月4日現在のWordPress最新版は7.1.4です。
管理画面に入れる場合は、ダッシュボードの「概要」や、「ツール」の中にある「サイトヘルス」の情報タブで、本体のバージョンが分かります。PHPのバージョンも見てほしいですが、今回はWordPressについて記載していることをご了承ください。
管理画面に入れない場合の確かめ方
自分でログインすることができない会社、もしくはログインできても投稿だけあって、バージョンの情報などが表示されない管理画面を見ている方もいるかもしれません。
その場合でも、確かめる方法はあります。
- サイトの「ページのソース」をブラウザで表示し、
generatorという文字を探す。WordPress 6.9.5のようにバージョンが書かれていることがある（消してあるサイトも多いので、出てこなくても心配はいりません） - 制作会社や保守会社に、次の2つを文章で聞く
- いまのWordPress本体のバージョンは何か（数字で教えてください）
- wp2shellの修正版（6.9.5／7.0.2／6.8.6以降）に、いつ更新したか（日付で知りたい）
「最新です」とだけ返ってきたら、「念のため、バージョンの数字と、更新した日も教えてください」と、もう一度聞いてください。(10月21日に総理が対応を呼びかけたphp2shellはPHP自体の問題で、WordPressを更新しても直りません。PHPのバージョンも別に確認してください。)
数字と日付が手元にあれば、社長自身も安心することができます。次に同じようなニュースが出たときも、すぐに業者にアップデートを依頼することができます。
自動更新が効いていない、よくある理由
WordPress.orgは、自動更新で修正版を配る対応をとっています。
ただしIPAは、環境や設定によっては自動更新が効いていない、または失敗している可能性があるとして、管理画面でバージョンを確かめ、更新されていなければ手動で更新するよう呼びかけています。
自動更新が止まっている理由は、だいたい次のどれかです。
- 更新で表示が崩れるのを避けるために、設定で自動更新を止めている
- サーバーのファイルの権限の問題で、WordPressが自分のファイルを書き換えられない
- 更新に必要な接続（FTPなど）の情報を求められたまま、止まっている
- 本体がかなり古い系列のままで、修正版が自動で届く対象から外れていることがある
自動更新を止めるのは、表示の崩れを避けてサイトを守るための判断であることが多いです。WordPressには、有名なテーマを購入して制作する場合と、自作でテーマを作りサイトを構築する方法があります。
自作のテーマを作ると、オリジナリティがでるため、デザインはかっこよくなります。色々な機能もつけることができます。でも、自作のテーマは、本体のアップデートへの対応を自分たちで行う必要があり、追いつかないことがあります。崩れるのが怖いため、制作会社が自動更新をOFFにする。といった事がおこります。
ただ、そのままアップデートをせずに止めておくのは、今回のような脆弱性が発見された時にいちばん危ない状態です。
更新したあとも確認したい、被害がないかの点検ポイント
WordPressを最新版・修正版に上げても、それ以前に入り込まれていた場合は、侵入の跡が残ったままです。
WordPressが新しくなっても、中に仕掛けられたウイルスが消えることは、ほぼありません。
最新にアップデートするとは、「これから入られないようにする」ということです。
すでに入り込まれていた場合、攻撃者が作った裏口はそのまま残ります。我々が攻撃者の視点で考えても、WordPressがアップデートされた時に消えるような攻撃はしないでしょう。
家の鍵を新しくしても、部屋の中に盗聴器と隠しカメラを設置されていたら意味がないのと同じです。
想定される被害として、データベースやサーバー内の情報の盗み出し、ページの改ざん、別の悪意あるプログラムの設置が挙げられています。
乗っ取られたWordPressには、一般に次のような痕跡が残ることがあります。
- サーバーに、外から操作するための不正なファイル（ウェブシェル）が置かれている
- 管理者権限を持つ、見覚えのないユーザーが作られている
- 入れた覚えのないプラグインが入り、居座るための場所にされている
- 定期的に動く処理（スケジュール）に、見覚えのないものが登録されている
- サーバーの中に、何度消しても復活するファイルがある。
そこで、更新のあとにログインをしたら、次の点を確認してください。サーバーの中は、制作会社に確認をしてもらってください。
| 確認する場所 | 見るもの |
|---|---|
| ユーザー一覧 | 見覚えのない管理者。特に、名前がランダムな英数字のもの |
| プラグイン一覧 | 入れた覚えのないもの。「有効」なのに管理画面に設定項目が出ないもの |
| サーバーのファイル一覧 | 最近作られた・更新された見覚えのないファイル。画像の置き場に .php のファイルがないか |
| サイトの中 | 身に覚えのないページやリンク。検索結果に出てくる知らないページ |
| テーマのファイル | 編集した覚えのない日付で更新されたもの |
サーバーのファイル一覧は、レンタルサーバーの管理画面にある「ファイルマネージャー」で、更新日の順に並べ替えると見つけやすいです。ただ、サーバー権限も制作会社やベンダーにある場合があります。そのため、サーバーを見られない時は制作をした会社・フリーランスの方に確認をするようにしてください。
1つでも見つかったら、削除して終わりにせず、専門家に相談してください。
見えている跡を消しても、別の裏口が残っていることがあるからです。AIに確認を依頼すると、ファイルの中に仕込まれた命令をAIが読み込んで、操られてしまう可能性もあるため、安易にAIに見てもらえばいい、というのも危険です。
もし、AIに見てもらうなら、「何もさわらない、ファイルの中も見ない、WordPressのファイルの構成を見て違和感がないか確認してください」と伝えてください。
本体を更新するだけでは足りない理由
WordPressの更新は「知られている弱点」にしか効果がないからです。
修正版が出るのは、弱点が見つかった後です。見つかってから更新するまでの間、そして更新を忘れていた期間は、無防備な状態です。
だから、更新に加えて、いくつかの防御を重ねておきます。
WordPressとサーバーの設定で行える防御として記載しています。一つが破られても、次で止める考え方です。
- 管理画面のログインに、二段階認証を付ける
- 管理画面に入れる場所を、会社のIPアドレスなどに絞る。または許可した人だけが通れる入口にする
- 管理画面は、誰でもログイン画面を開ける状態にするより、許可した人だけがアクセスできる仕組みを付ける。URLを変えて隠すだけでは不十分。二段階認証、アクセス制限、ログイン試行の制限を組み合わせる。
- 使っていないプラグインとテーマを、無効にするのではなく削除する
- ユーザー名が外から見える設定になっていたら（投稿者ページなど）閉じる
- バックアップを定期的に取得しておく。
「無効にする」と「削除する」の違いは、意外と知られていません。
無効にしただけのプラグインは、ファイルがサーバーに残ったままなので、そこに弱点があれば攻撃者は突いてきます。ゴミ箱にゴミを捨てて、そのゴミ箱をゴミの日に出さずに家に置いておくのと同じイメージです。
使っていないものは、削除してください。
WordPressの外側の守りとしては、WAFがあります。怪しい通信を止める「門番」のような仕組みです。
導入の方法は、Cloudflareの導入とWAFの解説で解説しています。
我々が更新で苦労した話。
「更新で崩れる」は、本当に起きます。それでも自動更新を止めない理由を、我々の例でお話しします。
これは、購入したテーマで起きた話です。自作のテーマだけでなく、購入したテーマでも、更新で崩れることはあります。
2026年の夏、WordPressの本体の自動更新のあとに、編集画面の装飾が崩れたと連絡がありました。
オウンドメディアでしたが、本体の更新の時に、編集画面の中だけ正しく表示されなくなったんです。
公開されているページは無事でしたが、記事を書くライターさんは困ります。
一瞬で原因が分かることもありますが、1つずつプラグインをON / OFF にする。自作テーマか、購入したテーマか見る。カスタムcssに何か書いていないか、プログラムに何か独自で追加していないかの確認をする必要があります。
原因がわかったので、テーマ側に暫定の手当てを入れて、テーマの修正版が出るまでをしのぐ形にしました。
WordPress本体、プラグイン、テーマの更新は、同時期にそろうとは限りません。編集画面の見た目が崩れる損より、本体の脆弱性が直らない損のほうが、はるかに大きいと判断して、更新は止めずに暫定処理をしました。
wp2shellのように、更新していなかったサイトだけが危険にさらされる事例は、これからも起きます。
更新を止めるのではなく、崩れたときに戻せる準備をして、入られにくいサイトを運用し続ける。
一度でもネット上にホームページを公開したのであれば、守る側はこの対策をとらなければいけないと考えています。
制作会社に任せきりの会社が確認すべきこと
任せることは悪くありません。任せるべきだと思います。ただ、「何を任せているか」は経営者が知っておいてください。
ホームページを作った会社と、保守をしている会社が別。あるいは、保守の契約自体がない。そういうことは、よくあります。知り合いが安く作ってくれたから。これもよく聞く話です。
その場合、wp2shellのような緊急の更新を、誰の担当でもないまま、まだ対応をしていない可能性があります。
次の表を、制作会社・保守会社との契約書と見比べてください。
| 確認すること | 望ましい状態 | 見直したい状態 |
|---|---|---|
| 本体とプラグインの更新 | 保守契約に含まれ、更新の報告がある | 「必要に応じて」としか書かれていない |
| 緊急の脆弱性への対応 | 「公表から○日以内」と期限がある | 期限の記載がない |
| 管理者アカウント | 自社名義の管理者を1つ持っている | 自社ではログインできない |
| バックアップ | 取得の頻度と保管場所が明記され、戻す手順がある | 「サーバー会社の機能で」とだけ書かれている |
| 連絡が取れなくなったとき | ドメイン・サーバーの名義が自社 | 名義が制作会社 |
3つ目は特に大切です。
制作会社と連絡が取れなくなったとき、自社で入れないと本当に何もできなくなります。
ドメイン・サーバーの名義や権利の棚卸しは、開発会社・制作会社と連絡が取れないときの手順で詳しく書いています。
契約を見直す話は、制作会社を疑うことではありません。
お互いの担当をはっきりさせておくほうが、いざというときに、制作会社も動きやすくなります。
よくある質問
Q1. 古いWordPressなので、修正版に上げたら崩れると言われました。
本番をいきなり上げず、複製した検証用のサイトで先に試してと伝えてください。「ローカルにDockerでWordPressを入れて、テーマを検証して」と伝えれば、制作会社が見積りを出してくれます。
どうしても上げられないほど古い場合は、更新ではなく移行を選ぶ判断をされることがあります。
Q2. 制作会社に「うちは対象外のバージョンです」と言われました。
バージョンの数字を聞いて、この記事の表と見比べてください。修正版以降の数字なら、今回の脆弱性については対策されています。ただし、ほかの脆弱性や侵害がないことまで保証されるわけではありません。
ただし、6.8より前の古いバージョンで「対象外」の場合は、今回とは別の弱点が残っていないか、あわせて確認が必要です。
Q3. WordPressをやめれば安全になりますか？
WordPressの管理画面・データベース・プラグインをなくせば、WordPressを狙う攻撃の入口はなくなります。数ページの会社案内なら、その選択は現実的です。
ただし、どんなサイトでも更新は必要です。WordPressが良いのか、他のプログラムがいいのかという答えに関しては、使いやすければWordPressでいいのではないかという判断をしています。
※このバウンサーの記事も、裏側はWordPressで記事を書いて、ホームページに別のプログラムで表示しています。ワードプレスは、ヘッドレスCMSとして活用しています。
自作のヘッドレスCMSも使っています。ただ、wordpressも自作も変わりません。経営者の方・事業にとって、使いやすく、そして保守を依頼したときに、誰でも対応ができるようにプログラムが良いと考えています。
まとめ
我々は、攻撃する側がどの弱点を試しに来るのかを見ながら、経営者の方が複雑なことを考えなくてもいいように、一緒にホームページ・御社の事業を守っています。
2026年7月のwp2shellは、管理者のパスワードがなくても乗っ取られる可能性がある、本体の深刻な脆弱性でした。
まず、本体のバージョンが修正版になっているかを、数字で確かめる。
次に、見覚えのない管理者やプラグインがないかを点検する。
そして、更新だけに頼らず、二段階認証・入口の制限・WAF・バックアップで守りを重ねる。
保守契約には、緊急時の期限と、自社名義の管理者アカウントを入れておく。
もし、「うちのWordPressに危ない設定が残っていないか、一度見てほしい」
相談する人がいない場合、そのひと言で十分です。ご相談ください。
まずは、今の状態を一緒に確認し、どのような状態がベストなのかをお伝えします。
古いWordPressを探して回っている悪質なスキャンは、今日も止まっていません。というかむしろより速く、より安くと某飲食店のように身近になっています。
こちらも、最新にする形・守れる形で整えていきましょう。
出典・参考資料
記載に間違いがないように、下記の出典・資料を参考にしています。
- IPA「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」（2026年7月22日）
- ScanNetSecurity「WordPress の深刻度『緊急』脆弱性『wp2shell』の概要と対応指針 ～ GMO Flatt Security 解説」（2026年7月23日）
- GMO Flatt Security「wp2shell」解説記事
- WordPress.org「Updating WordPress」
- INTERNET Watch「多くのサイトが予防的に公開停止、高市総理が対応呼びかけ―「PHPの深刻な脆弱性」対応で何が起きた？」
- MalCare「PHP2Shell: Critical PHP Vulnerability Requires an Urgent PHP Update」