【緊急】2026年7月発表のWordPressの脆弱性｜サイト乗っ取りの危険性と対処法（wp2shell）

2026年7月17日、WordPress 7.0.2・6.9.5・6.8.6が緊急のセキュリティリリースとして公開されました。対象はWordPress公式のリリースノートにある通り2件の脆弱性で、プラグインを一切使っていない標準構成のサイトでも、ログインパスワードを知らなくてもサイトを乗っ取られる恐れがある内容です。Rapid7やQualysなど複数のセキュリティ企業は、この脆弱性の組み合わせを「wp2shell」と呼んでいます。

01.まず結論：今すぐ確認すべきこと

詳しい説明の前に、サイト運営者がまず着手すべきことを3点にまとめます。詳しい手順は07章で解説します。

02.何が起きたのか

wp2shellは、プラグインやテーマではなく、WordPress本体（コア）そのものに見つかった問題です。専門用語を使わずに言うと、管理画面にログインしなくても、外部の第三者がサイトの中身を勝手に書き換えられてしまう状態です。心当たりのある不審なメールを開いた、パスワードを使い回していた、といった利用者側の落ち度は関係ありません。サイトが公開されているだけで対象になり得ます。

WordPressはW3Techsの調査によれば全世界のWebサイトの4割超（2026年7月時点で41.2%）で使われている、圧倒的なシェアを持つCMSです。特定の企業や業界に限らず、更新をしていない標準的なサイトすべてが対象になり得る点が、今回の問題を軽視できない理由です。

03.具体的にどんな被害につながるのか

「サイトを書き換えられる」と言われても、実際に何が起こるのかは分かりにくいものです。過去に起きた同種の被害も踏まえ、具体的にどんな被害につながりうるかを整理します。

04.影響を受けるバージョンと修正版

影響範囲はバージョン系列によって異なります。軽い方の問題はWordPress 6.8系から、重い方（パスワード不要での乗っ取りにつながる組み合わせ）は6.9系からが対象です。

自分のサイトがどのバージョンかは、管理画面ダッシュボードの右下、または「更新」画面で確認できます。表示されているバージョンが上記の修正版より古ければ、更新が必要です。なお、6.8.0より前のさらに古いバージョンを使っている場合、今回のwp2shell自体の対象ではありませんが、それだけ長期間セキュリティ更新を受けていないサイトである可能性が高く、別の脆弱性を抱えているおそれがあります。対応が必須ではないとはいえ、この機会に最新版へのアップデートを検討することをおすすめします。

05.発見の経緯とタイムライン

WordPress公式のリリースノートによれば、この問題はAssetnote（Searchlight Cyberの攻撃対象領域管理部門）のAdam Kues氏が、WordPressのHackerOneプログラムを通じて報告しました。もう一方の問題は、TF1T・dtro・haongoの3者が共同で報告しています。報告から修正版公開までの流れは次の通りです。

06.悪用状況：KEVカタログ入りとPoC公開

Cloudflareは同社の公式ブログで、無料プランを含む全プランのWAFにこの脆弱性向けのルールを展開したと発表しています。Cloudflareを経由しているサイトは、パッチ適用までの時間を稼げる可能性がありますが、WAFはあくまで一時的な緩和策であり、本体の更新を先送りする理由にはなりません。

パッチ公開からわずか数日で悪用が始まる今回の展開は、WordPressの脆弱性の歴史を振り返ると繰り返し起きてきたパターンでもあります。過去の主要な事例は別記事で詳しく整理しています。あわせてご覧ください。

07.今すぐやるべき対応

対応は「バージョン確認」「更新（または緩和策）」「侵害有無の確認」の3ステップです。技術者がいないメディア担当者でも、以下の順番で進めれば判断できます。

自動更新の状況を確認する

WordPressはマイナーバージョン（今回のような7.0.1→7.0.2）を既定で自動更新する仕組みを持っており、今回はさらにWordPress.org側が強制的に自動更新を有効化する措置を取っています。管理画面の「ダッシュボード」→「更新」で、現在のバージョンが7.0.2・6.9.5・6.8.6のいずれか、またはそれ以降になっているかを確認しましょう。レンタルサーバーやマネージド型のホスティングを使っている場合も、念のため管理画面で実際のバージョンを目視確認するのがおすすめです。

手動アップデートが必要なケース

次のような環境では自動更新が効かず、手動での対応が必要です。

すぐにパッチを当てられない場合の緩和策

社内承認や検証環境でのテストに時間がかかり、即日更新が難しい場合は、次の緩和策で被害を抑えられます。あくまで一時しのぎであり、更新の代わりにはならない点に注意してください。

08.よくある誤解

09.よくある質問（FAQ）

10.まとめ

wp2shellは、WordPress本体に見つかった2つの問題が組み合わさることで、標準構成のサイトでもパスワードなしで乗っ取られてしまう脆弱性です。すでに修正版（7.0.2・6.9.5・6.8.6）が公開され、CISAが実際の悪用を確認したと公表するほど事態は深刻です。まず管理画面でバージョンを確認し、未更新であれば今すぐの更新を、更新できない場合はWAFでの遮断を優先しましょう。

今回のような緊急パッチを見逃さずに済むかどうかは、日頃の更新運用が整っているかで決まります。本体・プラグインの更新が止まりがちなWordPressサイトの運用課題は、WordPress運用でよくある10の課題と対策でチェックリスト形式にまとめています。

11.技術的な仕組み（詳しく知りたい方向け）

ここから先は、なぜこの脆弱性が成立するのかという技術的な仕組みを知りたい方向けの内容です。読まなくても、対応そのものには支障ありません。

自社サイトの更新確認や緩和策の導入判断に技術者のリソースを割けない場合、対応そのものを外部に任せる選択肢もあります。弊社では、AIをフル活用したWordPress運用の保守・監視・改善までを伴走支援しています。