2026年7月、WordPress本体にwp2shellと呼ばれる重大な脆弱性が見つかりました。ログインしていない第三者でも悪用でき、最悪の場合はホームページを丸ごと乗っ取られる恐れがある危険な内容です。
この記事では、wp2shellの概要と対象バージョン、アップデート先、そして自社サイトがすでに乗っ取られていないかを確認する方法を紹介します。少しでも心当たりがあれば、早めに対応してください。
WordPressの脆弱性「wp2shell」とは
wp2shellとは、WordPress.orgが2026年7月17日に公表した2つの脆弱性であるCVE-2026-63030とCVE-2026-60137を組み合わせた攻撃手法の呼び名です。
REST APIのバッチ処理でリクエストの対応関係がずれる不具合と、WP_Queryのパラメータで発生するSQLインジェクションが同時に悪用されると、ログインしていない第三者でもサーバー上で任意のコードを実行できてしまいます。
これは、ホームページの表示を勝手に書き換えられたり、新しい管理者アカウントを裏口として仕込まれたりする状態を指します。攻撃者側に特別な準備は必要なく、プラグインを何も導入していない標準的なWordPressサイトでも被害を受ける可能性があります。
発見者であるSearchlight Cyberによって命名され、公表直後に実際の悪用も確認されています。
wp2shellの対象バージョンとアップデート先
wp2shellを構成する2つの脆弱性は、影響を受けるバージョンが異なります。
REST APIのバッチ処理に関わる不具合はWordPress 6.9（2025年12月公開）以降に存在し、WP_Queryのパラメータに関わるSQLインジェクションは6.8系から影響します。この2つが組み合わさることで、6.9から7.0.1までのバージョンでは、ログインなしのままリモートコード実行が成立してしまう状態でした。
修正版はすでに公開されており、6.8系は6.8.6、6.9系は6.9.5、7.0系は7.0.2にアップデートすれば解消します。深刻度の高さから対象バージョンには強制的な自動更新も有効化されていますが、Gitでの運用や自動更新を無効にしている環境では反映されないことがあります。
管理画面のダッシュボードから更新を開き、現在のバージョンを確認したうえで、手動でも早めに該当バージョンへ引き上げてください。
WordPressサイトが乗っ取られていないか確認する方法
通常の改ざんチェックに加えて、wp2shellに特有の視点も確認しておくと安心です。
今回の攻撃はREST API経由で実行されるため、サーバーのアクセスログにwp-json関連の不審なリクエストが2026年7月17日以降に集中していないか確認してください。あわせて、身に覚えのない管理者アカウントが追加されていないかもチェックが必要です。RCEが成立していた場合、攻撃者が裏口として新規アカウントを仕込んでいるケースがあるためです。
自分で判断が難しい場合は、発見者のSearchlight Cyberが公開している脆弱性チェックツールで診断する方法もあります。ファイルの更新日時やサーチコンソールの通知確認など、より詳しい手順はWordPressサイトが改ざんされたか確認する方法で解説しているので、あわせて確認してください。
この機会にWordPress・プラグイン・PHPを最新化しておこう
今回の脆弱性を機に、WordPress本体だけでなくプラグインやテーマ、サーバーのPHPバージョンもあわせて見直しておくことをおすすめします。攻撃者は公開された脆弱性だけでなく、更新が滞ったプラグインや古いPHPの穴も日常的に狙っているため、片方だけ最新化しても安心はできません。
管理画面でプラグイン一覧を開き、長期間更新されていないものがあれば使用状況を確認し、不要であれば削除しておくと安全性が高まります。ただし、アップデートは表示崩れや動作不良を招くこともあるため、実施前には必ずバックアップを取得してください。実際に復元できる状態かどうかも確認しておくと、万が一の際にも落ち着いて対応できます。
可能であればテスト環境で動作確認をしてから本番へ反映すると、更新後のトラブルをさらに防ぎやすくなります。
まとめ
wp2shellは、ログインしていない第三者でもWordPressサイトを乗っ取れてしまう深刻な脆弱性です。
プラグインを何も導入していない標準的なWordPressサイトでも影響を受け、すでに公開されたコードを使った攻撃も確認されているため、対応を先延ばしにするほどリスクは高まります。
まずは管理しているすべてのホームページでバージョンを確認し、6.8.6、6.9.5、7.0.2のいずれかに該当していなければ、自動更新を待たず手動で更新してください。あわせて、不審な管理者アカウントやアクセスログの異変がないかも確認し、被害の有無を早めに見極めることが大切です。
