WordPressの重大な脆弱性と、弊社の対応について

今回は緊急のお知らせとしてこの記事を書いています。

2026年7月19日の朝、エックスサーバーから一通の注意喚起メールが届きました。WordPress本体に重大な脆弱性が見つかったという内容です。

読んだ瞬間に、弊社で保守させていただいているお客様のサイトを一斉に確認し始めました。それくらい、今回のものはリスクの高い内容でした。

エックスサーバーからの注意喚起メール（2026年7月19日受信）

今回の脆弱性は、ログインもされていない見ず知らずの第三者が、プラグインを何も入れていない標準的なサイトであっても乗っ取れてしまう、という非常に危険なものです。

この記事を通じて一人でも多くの方に「今日、自社のサイトのバージョンを確認してください」とお伝えしたいと思います。

WordPressで何が起きているのか

2026年7月17日、WordPressの開発チームから、本体そのものに重大な脆弱性があることが公表されました。研究者によって「wp2shell」という通称が付けられ、CVE-2026-63030という管理番号で世界中に共有されています。

少し専門的な言葉が出てきますので、順番に説明します。

今回の脆弱性は「リモートコード実行」と呼ばれるものです。これは、攻撃者が離れた場所からサーバー上で自由にプログラムを動かせてしまう状態を指します。分かりやすく言えば、サイトそのものを丸ごと乗っ取られてしまう、ということです。

ページを勝手に書き換えられたり、別のサイトへ誘導する仕掛けを埋め込まれたり、管理者アカウントを新しく作られて裏口を仕込まれたりする、といった被害につながります。

さらに深刻なのが、この攻撃に「ログインが不要」だという点です。

通常、WordPressのセキュリティは、管理画面へのログインを突破されないことが一つの防波堤になっています。

ところが今回の脆弱性は、その防波堤の手前で成立してしまいます。会員登録もログインもしていない匿名の相手が、外部との連携に使われる「REST API」という窓口の一部の隙を突いて侵入できてしまうのです。

特別なプラグインも、特別な設定も必要ありません。標準的な状態のWordPressサイトが、そのまま対象になります。

影響を受けるバージョンと、修正されたバージョン

ご自身のサイトが対象かどうかは、WordPressのバージョンで判断できます。影響を受けるのは、次のバージョンです。

また、今回はもう一つ、連携して悪用されるSQLインジェクション（CVE-2026-60137）という脆弱性も同時に公表されています。こちらは6.8系のサイトも影響を受けますので、6.8.0 から 6.8.5 をお使いの場合も対策が必要です。

修正版として、WordPress側からは次のバージョンが公開されています。

「自動更新にしているから大丈夫」とは言い切れません

今回、事態を重く見たWordPress.orgは、対象バージョンのサイトに対して強制的な自動更新を実施しています。公式のリリースでも「セキュリティリリースのため、すぐにサイトを更新することを推奨します」と明記されています。

ただ、自動更新を有効にしていても、それが本当に完了しているかの確認は必要です。

自動更新は、サーバーの設定や他のプラグインとの兼ね合いで、途中で止まっていることが実際にあります。ですから「自動にしているから大丈夫だろう」と思い込まず、今回のような重要な更新の場合は、一度ご自身の目で確認していただくことが必要です。

特に、何年も触っていない古いサイト、担当者が代わって誰も中身が分からなくなっているサイト、複数のサイトを並行して運営されているケースでは、更新から取り残されているサイトが紛れ込んでいることが少なくありません。

また、WordPress本体だけでなく、サーバー環境の状態も確認が必要です。PHPのバージョンが古い、ファイルの書き込み権限や空き容量に問題がある、外部通信や定期実行機能が制限されている、といった環境では自動更新が正常に完了しなかったり、実行できなかったりすることがあります。

もう一つ、見落とされやすいのが、限られた人しかアクセスしないサイトや、社内ネットワークやVPN経由でしか開かないような、特殊な環境で運用しているサイトです。

WordPressの自動更新は、通常はWordPress内の定期実行機能（WP-Cron）を通じて行われます。一般的な設定ではサイトへのアクセスが実行のきっかけになりますが、サーバー側で定期実行を設定している場合もあります。

そのため、外部からのアクセスが少ないサイトや通信が制限された環境、更新機能を無効化しているサイトでは、更新が完了していない可能性があります。管理画面で実際のバージョンを確認してください。

会員専用のサイトや社内向けのサイト、公開範囲を限定しているサイトをお持ちの場合は、特に一度、ご自身で管理画面を開いてバージョンを確かめておいてください。

ご確認していただきたいこと

管理画面からは次の手順でご確認いただけます。

WordPressの管理画面にログインし、「ダッシュボード」から「更新」を開いてください。6.8系をお使いの場合は6.8.6以上、6.9系をお使いの場合は6.9.5以上、7.0系をお使いの場合は7.0.2以上になっていれば、今回の脆弱性への対応は済んでいます。

もし6.9.0から6.9.4、7.0.0から7.0.1、あるいは6.8.0から6.8.5が表示されていた場合は、その場で更新を実行してください。なお、WordPress 6.8未満のバージョンは、今回公表された2件の脆弱性の影響対象ではありません。

複数のサイトをお持ちの場合は、一つ更新できたからといって他も大丈夫だとは考えず、それぞれ個別に確認することが大切です。

忘れられがちなのが、テスト用のサイトや、昔作ったまま放置しているサブドメインのサイトです。攻撃者はそうした管理の目が届きにくいサイトを狙います。

エックスサーバーでは、サーバー側で攻撃経路を一時的に遮断する暫定対策が実施されています。

私が受け取ったエックスサーバーからのメールも、まさにその暫定対策の実施と、お客様自身によるアップデートのお願いでした。ただ、これらはあくまで一時的な防御であって、根本的な解決はサイトのアップデートでしか行えません。

弊社の対応と、ご相談について

弊社で保守管理を担当させていただいているお客様のサイトは、今回の件を受けてすでに確認と対応を完了いたしました。

一方で、前の制作会社と連絡が取れなくなってしまったサイト、社内の一人の担当者が抱えたまま属人化してしまい、更新の仕方が誰にも分からなくなっているサイト、こうしたサイトほど、今回のような緊急時に取り残されやすいのです。

もし今、ご自身のサイトが今回の対象バージョンなのかどうか判断がつかない、更新ボタンを押すのが怖い、そもそも管理画面にログインできない、という状態でしたら、遠慮なくお声がけください。

「まず今のサイトが安全な状態かどうかだけ診断してほしい」というご相談だけでも歓迎いたします。

ホームページは、公開して終わりではなく、公開してからずっと守り続けていくものです。今回の一件が、その守りの体制を見直すきっかけになれば幸いです。

投稿者プロフィール

山口 敦

2004年頃の会社員時代からブログ作成を始める。ブログ作成が楽しくなり、そのまま趣味が高じて2006年にホームページ制作で起業、2008年に株式会社ウェブロードを設立。現在は、個人・中小事業者のWordPressサイト制作・改善を中心に、Web業界20年の知識と経験を生かして、自治体案件等の大型案件のWebディレクターや中小企業・個人事業主へのWeb全般のアドバイザー、SEO/AIOのコンサルタントとしても活動中。　プロフィールはこちら

最新の投稿

• お知らせ2026年7月31日Webサーバーを移転してもメールアドレスはそのまま同じ文字列で使えます
• お知らせ2026年7月27日スマイルサーバーで起きた障害からサイト運営者がすぐ確認すべき3つのこと
• サイト運営ノウハウ2026年7月23日WordPressで「想定されていないか無効なコンテンツ」と警告が出たときの対処法
• お知らせ2026年7月19日WordPressの重大な脆弱性と、弊社の対応について