2026年7月22日、IPA（情報処理推進機構）がWordPressの重大な脆弱性について注意喚起を発表しました。「wp2shell」と呼ばれるこの問題は、管理者権限がなくても、攻撃者が遠隔でサイトを乗っ取れる（コードを実行できる）という非常に危険なものです。すでに攻撃の実証コードも公開されており、放置は禁物です。この記事では、専門知識がない方でも分かるように「何が危険なのか」「自分のサイトは大丈夫か」「今すぐ何をすべきか」を解説します。
「wp2shell」とは？何が危険なのか
wp2shellは、WordPress本体にある2つの脆弱性（CVE-2026-60137とCVE-2026-63030）を組み合わせた攻撃の呼び名です。最大の問題は、標準的な構成のWordPressで、ログインや管理者権限がなくても、外部の攻撃者が遠隔で任意のプログラムを実行できてしまう点です。これは「リモートコード実行（RCE）」と呼ばれ、脆弱性の中でも最も危険な部類に入ります。乗っ取られると、サイトの改ざん・情報の抜き取り・他サイトへの攻撃の踏み台化などにつながります。
さらに今回は、攻撃方法を示す「実証コード（PoC）」がすでに公開されています。つまり、悪用のハードルが下がっており、対策していないサイトは狙われやすい状況です。
影響を受けるバージョン
次のバージョンのWordPressが影響を受けます。ご自身のサイトが当てはまらないか確認してください。
- WordPress 6.9.0 〜 6.9.4
- WordPress 7.0.0 〜 7.0.1
- WordPress 6.8.0 〜 6.8.5（※CVE-2026-60137が該当）
逆に、下記の「修正済みバージョン」以上であれば対策されています。
- WordPress 6.9.5 以上
- WordPress 7.0.2 以上
- （6.8系のみ使い続ける場合）6.8.6 以上
自分のサイトのバージョンを確認する方法
WordPressのバージョンは、管理画面から簡単に確認できます。
- WordPressの管理画面にログインする
- 画面左メニューの「ダッシュボード」→「更新」を開く
- 現在のバージョン番号が表示される（「概要」画面の右下にも表示されます）
ここで「6.9.4」「7.0.1」など前述の危険バージョンだった場合は、すぐに次の更新を行ってください。
今すぐやるべき対処｜バージョンアップ
対策は、修正済みバージョンへの更新（バージョンアップ）が必須です。手順は次のとおりです。
- バックアップを取る：万一に備え、更新前にサイトのバックアップを取得する
- 更新を実行する：管理画面の「ダッシュボード」→「更新」から、最新版（6.9.5／7.0.2など）へ更新する
- 動作を確認する：更新後、サイトの表示や管理画面が正常か確認する
WordPressには自動更新の仕組みもありますが、設定によっては動いていない場合があります。「自動更新に任せているから大丈夫」と思い込まず、実際のバージョン番号を目視で確認することが重要です。プラグインとの相性が心配な場合は、バックアップを取ったうえで手動更新を検討してください。
日ごろのセキュリティ対策も大切
今回のような脆弱性は今後も発生します。以下のような基本を習慣化しておくと、被害を防ぎやすくなります。
- WordPress本体・テーマ・プラグインを常に最新に保つ
- 定期的にバックアップを取得する
- 使っていないプラグイン・テーマは削除する
- IPAやWordPress公式のセキュリティ情報をチェックする
「更新作業やセキュリティ対策に不安がある」「複数サイトの管理を任せたい」という場合は、専門家に相談するのも有効です。
よくある質問（FAQ）
Q. 自分のサイトが危険バージョンでした。すぐに乗っ取られますか？
A. 必ずしも即座に被害が出るわけではありませんが、実証コードが公開されており危険な状態です。バックアップを取り、できるだけ早く修正済みバージョンへ更新してください。
Q. 更新でサイトが壊れないか心配です。
A. 必ず事前にバックアップを取りましょう。マイナーバージョンの更新（例：7.0.1→7.0.2）は比較的安全ですが、不安な場合は専門家に依頼するのが安心です。
Q. すでに6.9.5や7.0.2以上なら何もしなくていいですか？
A. 今回の脆弱性については対策済みです。ただし今後も新たな脆弱性は出るため、日ごろから最新バージョンを保つことをおすすめします。
