【2026年8月11日 追記】その後、エックスサーバーをはじめとするレンタルサーバー各社がサーバー側での遮断対応を実施しています。ただしこれは暫定措置であり、WordPress本体の更新は依然として必須です。サーバー側の対策で何が防げて何が防げないのかは wp2shellはサーバー側の遮断だけでは防げない｜暫定措置の限界とサイト側の対応 で詳しく解説しています。本記事にもCVSSスコアと攻撃の仕組みを追記しました。

2026年7月22日、IPA（情報処理推進機構）がWordPressの重大な脆弱性について注意喚起を発表しました。「wp2shell」と呼ばれるこの問題は、管理者権限がなくても、攻撃者が遠隔でサイトを乗っ取れる（コードを実行できる）という非常に危険なものです。すでに攻撃の実証コードも公開されており、放置は禁物です。この記事では、専門知識がない方でも分かるように「何が危険なのか」「自分のサイトは大丈夫か」「今すぐ何をすべきか」を解説します。

「wp2shell」とは？何が危険なのか

wp2shellは、WordPress本体にある2つの脆弱性（CVE-2026-60137とCVE-2026-63030）を組み合わせた攻撃の呼び名です。最大の問題は、標準的な構成のWordPressで、ログインや管理者権限がなくても、外部の攻撃者が遠隔で任意のプログラムを実行できてしまう点です。これは「リモートコード実行（RCE）」と呼ばれ、脆弱性の中でも最も危険な部類に入ります。乗っ取られると、サイトの改ざん・情報の抜き取り・他サイトへの攻撃の踏み台化などにつながります。

さらに今回は、攻撃方法を示す「実証コード（PoC）」がすでに公開されています。つまり、悪用のハードルが下がっており、対策していないサイトは狙われやすい状況です。

2つの脆弱性の詳細とCVSSスコア

wp2shellを構成する2つの脆弱性は、JVN（脆弱性対策情報データベース）に次のように登録されています。いずれも「重大」と評価されています。

この2つが組み合わさることで、認証なしのリモートコード実行に至ります。いずれもネットワーク経由・認証不要・ユーザー操作不要で悪用可能とされており、攻撃者にとってハードルが低いのが特徴です。

影響を受けるバージョン

次のバージョンのWordPressが影響を受けます。ご自身のサイトが当てはまらないか確認してください。

• WordPress 6.9.0 〜 6.9.4
• WordPress 7.0.0 〜 7.0.1
• WordPress 6.8.0 〜 6.8.5（※CVE-2026-60137が該当）

逆に、下記の「修正済みバージョン」以上であれば対策されています。

• WordPress 6.9.5 以上
• WordPress 7.0.2 以上
• （6.8系のみ使い続ける場合）6.8.6 以上

なお、この脆弱性は導入しているプラグインやテーマの有無に関わらず、該当バージョンのWordPressであれば影響を受けます。「特別なプラグインは入れていないから大丈夫」という判断はできません。バージョン番号だけが判断基準です。

自分のサイトのバージョンを確認する方法

WordPressのバージョンは、管理画面から簡単に確認できます。

1. WordPressの管理画面にログインする
2. 画面左メニューの「ダッシュボード」→「更新」を開く
3. 現在のバージョン番号が表示される（「概要」画面の右下にも表示されます）

ここで「6.9.4」「7.0.1」など前述の危険バージョンだった場合は、すぐに次の更新を行ってください。

レンタルサーバー各社の対応状況

エックスサーバーでは、2026年7月19日午前6時30分頃にREST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断する対応が実施されました。その後、8月6日には影響対象外と判定されたドメインについて遮断が解除されています。

ただし、エックスサーバーの告知には「本対応はあくまで被害の発生を抑えるための暫定的な措置であり、根本的な解決には至りません」と明記されています。サーバー会社が対応したから安心、ではありません。脆弱性はWordPress本体にあるため、更新するまでリスクは残ります。

詳しくは wp2shellはサーバー側の遮断だけでは防げない｜暫定措置の限界とサイト側の対応 で解説しています。

今すぐやるべき対処｜バージョンアップ

対策は、修正済みバージョンへの更新（バージョンアップ）が必須です。手順は次のとおりです。

1. バックアップを取る：万一に備え、更新前にサイトのバックアップを取得する
2. 更新を実行する：管理画面の「ダッシュボード」→「更新」から、最新版（6.9.5／7.0.2など）へ更新する
3. 動作を確認する：更新後、サイトの表示や管理画面が正常か確認する

WordPressには自動更新の仕組みもありますが、設定によっては動いていない場合があります。「自動更新に任せているから大丈夫」と思い込まず、実際のバージョン番号を目視で確認することが重要です。プラグインとの相性が心配な場合は、バックアップを取ったうえで手動更新を検討してください。

日ごろのセキュリティ対策も大切

今回のような脆弱性は今後も発生します。以下のような基本を習慣化しておくと、被害を防ぎやすくなります。

• WordPress本体・テーマ・プラグインを常に最新に保つ
• 定期的にバックアップを取得する
• 使っていないプラグイン・テーマは削除する
• IPAやWordPress公式のセキュリティ情報をチェックする

「更新作業やセキュリティ対策に不安がある」「複数サイトの管理を任せたい」という場合は、専門家に相談するのも有効です。

よくある質問（FAQ）

Q. 自分のサイトが危険バージョンでした。すぐに乗っ取られますか？
A. 必ずしも即座に被害が出るわけではありませんが、実証コードが公開されており危険な状態です。バックアップを取り、できるだけ早く修正済みバージョンへ更新してください。

Q. 更新でサイトが壊れないか心配です。
A. 必ず事前にバックアップを取りましょう。マイナーバージョンの更新（例：7.0.1→7.0.2）は比較的安全ですが、不安な場合は専門家に依頼するのが安心です。

Q. すでに6.9.5や7.0.2以上なら何もしなくていいですか？
A. 今回の脆弱性については対策済みです。ただし今後も新たな脆弱性は出るため、日ごろから最新バージョンを保つことをおすすめします。

Q. エックスサーバーが遮断してくれたので、更新しなくてもいいですか？
A. 更新は必要です。サーバー側の遮断は公式に「暫定的な措置」と明記されており、影響対象外と判定されたドメインでは8月6日にすでに解除されています。また脆弱性そのものはWordPress本体に残っているため、更新以外に根本的な解決策はありません。

※本記事は2026年8月11日時点の公開情報にもとづいて更新しています。対応状況は変わる可能性があるため、実際の対応時はご利用のサーバー会社およびWordPress公式の最新情報をあわせてご確認ください。