2026年7月17日。WordPress 7.0.2が公開されました。
普段、私はWordPressのアップデートについて、必要以上に不安をあおるような伝え方はしていません。
アップデートをすることで、逆に不具合になる可能性もあります。
ですが今回のWordPress 7.0.2については、
もし現在のワードプレスのバージョンが6.9.0〜4または7.0.0〜7.0.1であれば、
できればこの記事を見た今日、確認と更新をおすすめします。
（操作方法や状況がわからない場合は、うちでなく他社さんでもいいので、放置せず相談をお願いします）
今回修正された「wp2shell」と呼ばれる問題は、
条件次第で「管理画面のログイン情報を知らない第三者でもWordPressを操作できる可能性がある、深刻な脆弱性」となります。
【先に結論】この表を見て、対象バージョンだったら更新を
現在、次のWordPressバージョンを使用している場合は、更新が必要です。
| 現在のWordPress | 更新先 |
|---|---|
| WordPress 7.0〜7.0.1 | WordPress 7.0.2以上 |
| WordPress 6.9〜6.9.4 | WordPress 6.9.5以上 |
| WordPress 6.8〜6.8.5 | WordPress 6.8.6以上 |
特に注意したいのは、WordPress 6.9〜6.9.4と、WordPress 7.0〜7.0.1です。
この範囲では、今回見つかった2つの脆弱性を組み合わせることで、外部から認証なしに攻撃される「wp2shell」が成立する可能性があります。
WordPress 6.8〜6.8.5についても、関連するSQLインジェクションの脆弱性が含まれるため、6.8.6以上への更新が必要です。
Umi Design エンジニアWordPress 6.8より前のバージョンは、今回のwp2shell対象外とされています。
ただし、すでにサポートやセキュリティ更新の対象外となっている古いバージョンもあり、過去に修正された別の脆弱性が残っている可能性があります。
今回の対象外だから安全、という意味ではありません。
Umi Design エンジニアWordPressバージョン5以下の場合は、
物件で言うと「旧耐震基準」に近い状態。
事前調査含め、インフラもわかる制作会社に確認をお願いします。
「サイトが普通に表示されているから大丈夫」ではありません
今回、一番お伝えしたいのはここです。
ホームページがいつもどおり表示されていても、安全とは限りません。
WordPressへの攻撃というと、↓のような分かりやすい症状を想像される方が多いと思います。
- ホームページが真っ白になる
- エラーメッセージがでている
- 怪しい文字が表示される
- 海外のサイトへ転送される
- 管理画面に入れなくなる
実際にはそのようなわかりやすい被害が起きることもありますが⋯
見た目を変えず裏側にだけ不正なファイルを置かれることもあります。
表面上はいつもどおりサイトが表示されている一方、サーバー内部には第三者が後から入り直すための「裏口」が作られている。
Umi Design エンジニア実際私が見たマルウェア感染サイトは、この「見た目は通常通り」のケースが多いです。
wp2shellとは何ですか？
「wp2shell」は、WordPressのプラグイン名ではありません。
また、WordPressに「WPShell」という新しい機能が追加されたわけでもありません。
今回見つかった、次の2つの脆弱性を組み合わせた攻撃手法の呼び名です。
- CVE-2026-63030
- CVE-2026-60137
専門的には、WordPressのREST APIに関する処理の不備と、データベース検索処理に関するSQLインジェクションの脆弱性を組み合わせたものです。
Umi Design エンジニアこの説明だけでは、何が危険なのかちょっと分かりにくいですね。
でも重要なので、この２つの問題をかみ砕いて説明します。
1つ目は「受付をすり抜けられる問題」
WordPressには、外部のシステムと情報をやり取りするための「REST API」という仕組みがあります。
今回、その中で複数の処理をまとめて受け付ける「バッチ処理」に問題が見つかりました。
たとえるなら、「会社の受付で複数の申請書をまとめて処理していたところ、書類と確認結果の組み合わせが途中からずれてしまい、本来は通してはいけない人まで通してしまう状態」です。
正規の受付があるにもかかわらず、処理の食い違いを利用して、本来受け付けられない要求を通される可能性がありました。
2つ目は「データベースへの命令に不正な内容を混ぜられる問題」
WordPressの記事や設定、ユーザー情報などは、主にデータベースへ保存されています。
WordPressがデータベースから記事を検索するときには、内部で検索条件を組み立てます。
その検索条件の一部で、入力内容を適切に処理できていない箇所がありました。
これが「SQLインジェクション」と呼ばれる問題です。
たとえるなら、
「商品番号を入力してください」
というテキスト入力欄に、本来の商品番号ではなく、管理システムへの命令まで書き込めてしまう状態です。
この2つの問題がつながることで、外部の第三者がWordPress内部の情報へアクセスし、最終的には不正な処理を実行できる可能性があります。
今回はプラグインの問題ではなく、WordPress本体の問題
WordPressの脆弱性というと、
「何か怪しいプラグインを入れていたのでは？」
と思われるかもしれません。
ですが今回は、WordPress本体（WordPressコア）に含まれていた問題です。
つまり、
- プラグインをほとんど入れていない
- 有名なテーマしか使用していない
- 管理画面のパスワードを複雑にしている
- 管理者が怪しいメールを開いていない
といったサイトであっても、対象バージョンを使用していれば関係があります。
特にWordPress 6.9〜6.9.4、7.0〜7.0.1では、標準に近い構成でも、管理者のIDやパスワードを持たない第三者によるリモートコード実行が可能だと、国内外のセキュリティ研究者から報告されています。
これは、よくある「特定のプラグインを使っているサイトだけが対象」
という話ではなく、かなり影響範囲が広い問題です。
なぜ今回ここまで強く、更新をおすすめするのか
Umi Design エンジニア（おすすめする、という言葉では弱いと思っていますが）
更新をすすめる理由は、大きく3つあります。
【理由1】ログインしていない第三者から攻撃される可能性がある
今回の「wp2shell」は、WordPressの管理画面へログインした人だけが悪用できる問題ではありません。
サイトへ通常のインターネット通信ができれば、管理画面のIDやパスワードを持たない第三者から攻撃される可能性があります。
「ホームページを見る一般の閲覧者と同じ入口から、攻撃を試される可能性がある」ということです。
【理由2】最終的にWordPressやサーバー上で不正なコードを実行される可能性がある
今回問題となっているのは、単に記事の一部を読み取られるだけではありません。
2つの脆弱性を組み合わせることで、最終的にはWordPressやサーバー上で、攻撃者が用意した不正な処理を実行できる可能性があります。
これは「リモートコード実行」、略してRCEと呼ばれます。
RCEは、一般的にWebサイトの脆弱性の中でも、非常に深刻な種類に分類されます。
CVE-2026-63030には、WPScanからCVSS 3.1で最高水準に近い「9.8」に相当する評価内容が登録されています。CVSSは脆弱性の深刻度を0.0〜10.0で表す指標です。
技術者向け補足
- CVE-2026-63030（REST API batch-route confusion）
WordPressのREST APIバッチエンドポイントにおけるルート混同の脆弱性です。
意図しないルートまたは処理経路へリクエストが渡る可能性があり、
CVEレコードではCWE-436（Interpretation Conflict⋯解釈の不一致）に分類されてます。 - CVE-2026-60137（SQLインジェクション）
WP_Queryのauthor__not_inパラメータが適切にサニタイズされないため、プラグインやテーマが信頼できない入力を渡した場合に、SQLインジェクションへつながる可能性がある脆弱性。
CVEレコードではCWE-89（SQLインジェクション）に分類されています。 - 攻撃チェーン（wp2shell）
WordPress 6.9以降では、前者のルート混同によってリクエストが意図しない処理経路へ渡り、後者のSQLインジェクションと連鎖することで、最終的にリモートコード実行（RCE）へつながり得るとされています。
各脆弱性を単独で評価する場合と、攻撃チェーン全体を評価する場合とでは、前提条件と影響が異なります。 - CVSS評価
CVE-2026-63030はWPScanが9.8、CISA-ADPが7.5、CVE-2026-60137はWPScanが5.9、CISA-ADPが9.1と評価しています。評価主体によって攻撃条件や影響の見積もりが異なるため、特定のスコアだけではなく、評価主体、ベクター、単独の脆弱性か攻撃チェーン全体かを区別して確認する必要があります。なお、いずれの評価にもネットワーク経由・事前権限不要・利用者操作不要という要素が含まれています。 - 対応判断について
環境構成によって攻撃チェーンの成立条件が変わる可能性はありますが、個別環境の推測だけで安全と判断すべきではありません。WordPress公式は、影響を受けるバージョンについて修正版への即時更新を推奨しています。また、両CVEは2026年7月21日にCISAのKnown Exploited Vulnerabilities Catalogへ追加され、実際の悪用が確認された脆弱性として扱われています。
参考情報
- WordPress公式 Security Advisory
CVE-2026-63030：GHSA-ff9f-jf42-662q
CVE-2026-60137：GHSA-fpp7-x2x2-2mjf - NVD
CVE-2026-63030／CVE-2026-60137 - CISA Known Exploited Vulnerabilities Catalog
※ 記載内容・評価値は2026年7月23日時点。（CVSSやCVEレコードは後から更新されることがあります）
ただし、今回重要なのは数字だけではありません。
- インターネット経由で攻撃できる
- 攻撃前のログイン権限が不要
- 管理者側のクリック操作も不要
- 情報の窃取、改ざん、停止につながり得る
という条件が重なっている点です。
【理由3】すでに実際の攻撃が確認されている
脆弱性が発表されても、すぐに実際の被害が確認されていないこともあります。
しかし今回は、情報公開後の早い段階から実際の悪用が確認されています。
米国CISAの「既知の悪用された脆弱性カタログ」にも、今回のCVEが追加されています。
これは、理論上では攻撃できるというだけではなく、実際の環境で悪用されていることを示す重要な情報です。
脆弱性の情報が公開されると、セキュリティ研究者だけでなく攻撃者も修正内容を調べ始めます。
修正前と修正後のプログラムを比較すれば、
「どこに問題があったのか」を推測できるためです。
その後、自動的に世界中のWordPressを探して攻撃するプログラムが作られることもあります。
ですから、時間が経てば自然に安全になるわけではありません。
むしろ、修正せずに公開を続ける期間が長くなるほど、攻撃を試される機会が増えると考えたほうが現実的です。
攻撃されると、具体的に何が起こるか？
今回の問題が悪用された場合、次のような被害が考えられます。
覚えのない管理者ユーザーが追加される
WordPressに、知らない管理者アカウントを作成される可能性があります。
管理者権限さえあれば、記事や固定ページの編集だけでなく、プラグインの追加やテーマファイルの編集もできます。
管理者一覧を見ても、一見すると正規の保守担当者に見えるような名前を付けられることもあります。
ホームページを書き換えられる(見た目で気づかないケースも)
会社名、電話番号、サービス内容などを書き換えられる可能性があります。
また、ホームページを開いた人を、詐欺サイトや偽の通販サイトへ転送するコードを埋め込まれることもあります。
検索エンジンから来た人だけを別ページへ転送するなど、管理者が普通に確認しただけでは気づきにくい改ざんもあります。
不正なファイルを設置される
攻撃者が後から再び侵入できるように、「Webシェル」と呼ばれる不正なファイルを設置する可能性があります。
Webシェルとは、ブラウザなどを使ってサーバーへ命令を送るためのプログラムです。
簡単に言えば、ホームページの内部に作られる「勝手口」のようなものです。
WordPressを最新版へ更新して正面玄関の鍵を直しても、すでに勝手口を作られていれば、そこから再侵入される可能性があります。
データベースの情報を読み取られる
WordPressのデータベースには、次のような情報が保存されています。
- 投稿や固定ページ
- WordPressの設定
- 管理者やユーザーの情報
- プラグインの設定
- お問い合わせ内容
- 会員サイトであれば会員情報
- ECサイトであれば注文に関する情報
どの情報まで保存されているかは、サイトの構成によって異なります。
一般的な会社案内サイトだから関係ない、とは言い切れません。
Umi Design エンジニアお問い合わせフォームの内容をデータベースに保存するプラグインを使っているケースもあります。
迷惑メールや別の攻撃に利用される
乗っ取られたサーバーが、迷惑メールの送信、不正なページの設置、別サイトへの攻撃などに利用される可能性もあります。
自社が攻撃を行ったわけではなくても、自社のサーバーが攻撃の中継地点として使われてしまうことがあります。
その結果、ドメインやIPアドレスの評価が下がる可能性がある。
それだけでなく、サーバー会社から利用制限や停止措置を受ける可能性もあります。
「自動更新されているから何もしなくてよい」ではない
WordPressには、本体を自動的に更新する仕組みがあります。
今回すでに、自動更新によってWordPress 7.0.2などの修正版になっているサイトもあります。
ただ、その設定がされていないサイトもあります。
Umi Design エンジニア逆に、何でもかんでも自動更新する設定になっているサイトもあります。この場合、セキュリティ修正だけでなく他の変更も一緒に適用され、
アップデートによる不具合が発生するリスクもあります。
自動更新されているかの確認方法
まずはWordPressの管理画面にログインし、現在のバージョンを確認してください。
管理画面の「ダッシュボード」から「更新」を開くと、現在の状態を確認できます。
ただし、自動更新されていたからといって、それだけで完全に安心とは言い切れません。
たとえば、
- 脆弱性の公開から自動更新までに時間が空いていた
- サイトが更新前から対象バージョンで公開されていた
- 自動更新後の動作確認をしていない
- すでに不正なファイルが設置されていた
- 管理者アカウントが追加されていた
という可能性は残ります。
更新は「これから同じ入口を使われないようにする対策」です。
更新前に侵入されていたかどうかまでは、WordPressのバージョン番号だけでは分かりません。
今すぐ確認してほしいこと
専門知識がない方は、まず次の3点を確認してください。
1.WordPressのバージョン
WordPressの管理画面を開き、次のいずれかになっているか確認します。
- WordPress 7.0.2以上
- WordPress 6.9.5以上
- WordPress 6.8.6以上
古い6.7系などを使っている場合、今回のwp2shellとは別に、過去のセキュリティ問題が残っている可能性があります。
「今回の対象外だから古いままでよい」という意味ではありません。
2.見覚えのない管理者がいないか
管理画面の「ユーザー」から「ユーザー一覧」を開きます。
権限が「管理者」になっているユーザーを確認してください。
制作会社、保守会社、社内担当者など、登録されている理由が分かるアカウントだけであれば問題ありません。
ただし、見覚えのない英数字のユーザーや、誰が作ったのか分からない管理者がいる場合は注意が必要です。
管理画面の「ユーザー→ユーザー一覧」で、不審な管理者ユーザーがいないか確認をしましょう。
3.ホームページの主要機能が正常に動くか
アップデート後は、少なくとも次の項目を確認します。
- トップページが表示されるか
- 主要な下層ページが表示されるか
- スマートフォン表示が崩れていないか
- お問い合わせフォームを送信できるか
- 管理画面へログインできるか
- エラーメッセージが出ていないか
- 身に覚えのないページへ転送されないか
会社のホームページでは、更新自体に成功していても、お問い合わせフォームだけが動かなくなるといったケースがあります。
セキュリティ更新と動作確認は、セットで考える必要があります。
制作会社や保守会社へ依頼する場合の確認事項
管理を依頼している制作会社や保守会社がある場合は、次のように確認すると（したほうが）よいでしょう。
WordPress 7.0.2で修正されたwp2shellの脆弱性について、当サイトは対象でしょうか。
現在のバージョン、更新状況、更新後の動作確認状況を教えてください。
可能であれば、次の点も確認してください。
- 更新前のバックアップがあるか
- WordPress本体の更新が完了しているか
- プラグインやテーマとの互換性を確認したか
- 不審な管理者アカウントがないか確認したか
- WordPress本体のファイル改変を確認したか
- サーバー内に不審なPHPファイルがないか
自分で更新するときの注意点
今回の更新は急いだほうがよいものですが、バックアップを取らずに更新することもおすすめしません。
WordPress本体を更新すると、使用しているテーマやプラグイン、PHPのバージョンとの組み合わせによって、不具合が出ることがあります。
可能であれば、次の順番で対応します。
- サーバー上のファイルをバックアップする
- WordPressのデータベースをバックアップする
- 現在のWordPress、テーマ、プラグインの状態を記録する
- WordPress本体を修正版へ更新する
- キャッシュを削除する
- パソコンとスマートフォンで表示を確認する
- お問い合わせフォームを実際に送信する
- 管理者ユーザーやファイルに不審な変更がないか確認する
更新ボタンを押すこと自体は難しくありません。
難しいのは、更新後に問題が起きた場合の原因調査と、すでに攻撃を受けていないかの確認です。
事業で使用しているホームページで、バックアップや復旧方法が分からない場合は、無理に自己判断せず制作会社や保守担当者へ相談してください。
更新済みでも、すでに侵入されていた場合は別の対応が必要です
ここは重要なので、もう一度お伝えします。
WordPressを7.0.2へ更新しても、すでに設置された不正ファイルや不正な管理者アカウントが、自動的に削除されるわけではありません。
更新前に既に侵入されていた疑いがある場合は、次のような調査が必要になります。
- WordPressコアファイルの改変確認
- テーマファイルの確認
- プラグインファイルの確認
- uploadsフォルダ内のPHPファイル確認
- 不審な管理者アカウントの確認
- 最近追加・変更されたファイルの確認
- サーバーのアクセスログ確認
- WordPressやサーバーのエラーログ確認
- データベース内の不審な変更確認
- 管理者パスワードや関連認証情報の変更
不正なファイルを1つ見つけて削除しても、別の場所に侵入口が残っている場合があります。
感染や改ざんが疑われるサイトでは、表面的な修正だけで終わらせず、侵入経路と影響範囲を確認する必要があります。
WordPressは危険なシステムなのか？
今回の話を読むと、
「WordPressそのものを使わないほうがよいのでは？」
と感じる方もいるかもしれません。
しかし、WordPressだけが特別に危険というわけではありません。
世界中で広く使われているシステムには、多くの研究者がセキュリティ調査を行う一方、攻撃者からも狙われやすいという特徴があります。
大切なのは、
- WordPress本体を更新する
- プラグインやテーマを更新する
- 使用していないものを削除する
- バックアップを取る
- 定期的に状態を確認する
- 問題発生時に復旧できる状態にする
という基本的な運用を続けることです。
WordPressは、作って公開したら終わりのシステムではありません。
会社のパソコンやスマートフォンと同じように、更新と管理が必要です。
問題はWordPressを使うことではなく、古いバージョンを公開し続けることです。
当方で保守管理しているホームページについて
当方で保守管理を行っているホームページについては、プランによりますが、
基本では、月次の更新・動作確認を行っています。
ただし今回のようなケースでは、通常の確認時期を待たず優先度を上げて、WordPress本体のバージョンと対象状況を確認しています。
また、WordPressを更新するだけでなく、主要ページの表示、管理画面の状況など、あわせて確認します。
今回のように緊急性が高い問題については、通常の月次保守とは別に、早めに情報を確認し対応することが重要だと考えています。
【まとめ】今回は後回しにしないでください
WordPress 7.0.2は、単なる不具合修正ではありません。
今回修正されたwp2shellは、2つの脆弱性を組み合わせることで、WordPressへログインしていない第三者から不正な処理を実行される可能性がある問題です。
特に、次のバージョンを利用している場合は、早めに（できれば見た今日）対応をしてください。
- WordPress 7.0〜7.0.1
- WordPress 6.9〜6.9.4
- WordPress 6.8〜6.8.5
更新先は、それぞれ次のとおりです。
- WordPress 7.0 → WordPress 7.0.2以上
- WordPress 6.9 → WordPress 6.9.5以上
- WordPress 6.8 → WordPress 6.8.6以上
そして今回の対応は、単に更新ボタンを押して終わりではありません。
更新前のバックアップ、更新後の表示確認、お問い合わせフォームの送信確認、不審なユーザー追加やファイルの有無まで確認するのが理想です。
普段であれば、セキュリティ情報だけを見て必要以上に慌てる必要はありません。
しかし今回は「次回ホームページを見るついでに更新すればよい」という問題ではありません。
以下のような方は、制作会社や保守担当者へ早めに確認してください。
- 今のWordPressのバージョンが分からない方
- 管理を誰が行っているか分からない方
- 更新後の確認に不安がある方
無理に当方に依頼しなくてもいいです。
今回は、後回しにせず確認してください。
ホームページは、24時間インターネット上に常に公開されています。
Umi Design エンジニア「営業時間外だから、休日だから、誰も見ていないから」といって、攻撃は止まってくれるわけではありません⋯
参考情報
本記事は、2026年7月23日時点で公開されているWordPress公式リリース情報、NVD、CISAの登録情報および国内外のセキュリティ研究機関による検証情報をもとに作成しています。
脆弱性に関する情報は、追加調査によって評価や影響範囲が更新される場合があります。最新情報については、WordPress公式および各セキュリティ機関の案内もあわせてご確認ください。
