WordPressに重大な脆弱性「wp2shell」乗っ取りの危険高！対象バージョンと今すぐ行う対策【CVE-2026-63030】

WordPressを使っているものの、『自動更新に任せて大丈夫？』『自分のサイトは乗っ取られていない？』と不安になっていませんか。

2026年7月17日、WordPressはコア（WordPress本体）に関するセキュリティリリース7.0.2を公開しました。今回の問題は、REST APIの処理に関するCVE-2026-63030と、SQLインジェクションのCVE-2026-60137を組み合わせることで、ログインしていない第三者がサイト上でコードを実行できる可能性がある攻撃チェーンです。「wp2shell」と呼ばれています。

結論から言うと、対象バージョンを利用中なら、バックアップを確認したうえで修正版へ速やかに更新し、更新後のバージョンを目視で確認してください。自動更新が有効でも、失敗や設定変更の可能性があるため、確認を省略しないことが大切です。

wp2shellとは？WordPressコアで公表された重大な脆弱性

wp2shellは、WordPressのプラグインやテーマではなく、WordPress本体の処理に関係する脆弱性です。特に注意が必要なのは、2つの問題を連携させることで、認証前、つまり管理画面へログインしていない攻撃者でも遠隔からコードを実行できる可能性がある点です。

2つのCVEが組み合わさる攻撃チェーン

今回の「wp2shell」は、単一の不具合だけを指すというより、次の2つを組み合わせた攻撃チェーンとして理解すると正確です。

• CVE-2026-63030：REST APIのバッチルートで処理の解釈が食い違う問題
• CVE-2026-60137：WordPressのデータベース問い合わせ処理「WP_Query」におけるSQLインジェクション

WordPress公式は、7.0.2で「重大」1件と「高」1件のセキュリティ問題に対応したと説明しています。脆弱なバージョンでは、導入プラグインの有無だけで安全性を判断できません。プラグインをほとんど入れていないサイトでも、WordPress本体が対象なら対応が必要です。

悪用されると何が起こる可能性がある？

攻撃が成功すると、管理者権限の奪取、不正なプラグインやバックドアの設置、ページの改ざん、訪問者を偽サイトへ転送する処理の追加、サーバー内情報へのアクセスなどにつながるおそれがあります。セキュリティ調査機関Wizは2026年7月20日、脆弱な環境に対する悪用と、永続的なWebシェルの設置を確認したと報告しました。

ただし、対象バージョンだから必ず侵害されているという意味ではありません。重要なのは、まず更新して攻撃経路を閉じ、そのうえで不審な変化がないかを確認することです。

影響を受けるWordPressのバージョンと修正版

WordPress公式の案内では、6.9系と7.0系が2つの脆弱性の影響を受けます。6.8系はCVE-2026-60137の影響対象ですが、完全なwp2shellのRCE攻撃チェーンとは影響範囲が異なります。

WordPress公式によると、6.8より前のバージョンは今回の2件の影響対象ではありません。ただし、古いWordPressを使い続けることが安全という意味ではありません。別の既知の脆弱性や互換性問題が残る可能性があるため、現在サポートされている安定版への移行を検討してください。

今すぐ行う確認とアップデート手順

専門的な診断より先に、現在のバージョンを確認し、対象なら公式の修正版へ更新することが最優先です。作業前には、可能な範囲でファイルとデータベースのバックアップ状況を確認してください。

1. バックアップ状況を確認する

WordPress公式も更新前のバックアップを推奨しています。ファイルだけでなく、記事、ユーザー、設定などが入るデータベースも対象です。レンタルサーバーの自動バックアップを利用している場合は、「取得されているはず」で終わらせず、最終取得日時と復元手順を確認しましょう。

ただし、バックアップの準備に長時間かかるからといって、対象サイトを何日も未更新のまま放置するのは避けてください。操作に不安がある場合は、利用中のサーバー会社や保守担当者へ早めに相談します。

2. 管理画面でWordPressのバージョンを確認する

管理画面へログインし、左側メニューから「ダッシュボード」→「更新」を開きます。この画面には現在のWordPressバージョンと、利用可能な更新が表示されます。管理画面の「サイトヘルス」や画面右下で確認できる場合もありますが、更新画面を見る方法が分かりやすいでしょう。

3. 「今すぐ更新」を実行する

対象バージョンなら、更新画面から修正版へアップデートします。更新中はブラウザを閉じたり、サーバー上のファイルを同時に変更したりしないでください。更新後は、管理画面へ再度ログインし、表示中のバージョンを確認します。キャッシュ機能を利用している場合は、必要に応じてキャッシュを消し、公開ページも確認します。

4. 管理画面へ入れない・更新に失敗する場合

ディスク容量不足、ファイル権限、通信エラー、保守設定などが原因で自動・手動更新に失敗することがあります。同じ操作を何度も繰り返す前に、画面に出たエラーメッセージをスクリーンショットで保存し、サーバーの空き容量や障害情報を確認してください。管理画面へ入れない場合は、サーバー会社のサポートやWordPressの保守担当者へ相談しましょう。

自動アップデートが有効なら何もしなくてよい？

自動更新が有効でも、実際に修正版へ更新されたかの確認は必要です。WordPress.orgは今回、深刻度を踏まえて影響を受けるサイトへの強制自動更新を有効にしたと説明しています。また通常、WordPressのマイナー版やセキュリティ更新は、多くの環境でバックグラウンド更新の対象です。

一方で、次のような場合は更新が完了しないことがあります。

• WordPress本体の自動更新を無効にしている
• サーバーのディスク容量が不足している
• ファイルの所有者・権限に問題がある
• 更新処理中に通信エラーやタイムアウトが起きた
• 保守プラグイン、独自設定、バージョン管理などが更新を制限している
  

通常はcPanelのWordPress自動アップデート機能によってセキュリティ更新が自動適用されるとされています。ただし、自動更新をOFFにしている場合や更新に失敗している場合は手動対応が必要です。利用中のサーバーにかかわらず、「自動更新だから大丈夫」ではなく、管理画面で実バージョンを確認してください。

アップデート後に確認したい「侵害の兆候」

アップデートは今後の悪用を防ぐための対策ですが、更新前に設置された不正ファイルや不正アカウントを自動的に除去するものではありません。次のような変化があれば、単なる不具合と決めつけず、状況を保存して調査を検討してください。

• 覚えのない管理者ユーザーが増えている
• 知らないプラグインが追加・有効化されている
• サイトが別のページへ勝手に転送される
• 広告、警告、外国語のページなど見覚えのない内容が表示される
• サーバー上に最近更新された不審なPHPファイルがある
• アクセスログに「/wp-json/batch/v1」への不審な大量リクエストがある
• サーバー会社や検索サービスからマルウェア・改ざんの警告が届いた

これらが見当たらないことだけで「侵害されていない」と断定はできません。重要な事業サイト、会員情報を扱うサイト、ECサイトなどでは、必要に応じてログやファイルの専門的な確認も検討してください。

侵害が疑われる場合の初動対応

不審な管理者やファイルを見つけても、証拠を残さずにすぐ削除すると、原因や侵入時期を確認しにくくなることがあります。被害拡大を抑えながら、次の順序で状況を整理します。

1. 証拠を保存する：画面、エラー、管理者一覧、プラグイン一覧、アクセスログ、サーバーログを保存する
2. 現在の状態を保全する：可能ならファイルとデータベースのスナップショットを取得し、上書きされない場所へ保管する
3. 関係者へ連絡する：サーバー会社、サイト保守担当者、セキュリティ対応窓口へ状況を共有する
4. 認証情報を見直す：安全な端末からWordPress、サーバー、FTP/SFTP、データベース等のパスワード変更と不要セッションの無効化を検討する
5. 復旧方針を決める：既知の正常なバックアップからの復元、コア・プラグイン・テーマの更新、不正ファイルの除去をサイトごとに判断する

個人情報や決済情報が関係する可能性がある場合は、契約先や法令上の報告・通知義務についても専門家へ確認してください。

すぐに更新できない場合の一時的な対策

恒久対策はWordPress本体のアップデートです。どうしても直ちに更新できない場合、サーバーやWAFの管理に詳しい担当者は、一時措置としてREST APIのバッチエンドポイント「/wp-json/batch/v1」と「?rest_route=/batch/v1」への未認証アクセスを制限する方法を検討できます。

ただし、REST APIの遮断はプラグイン、テーマ、外部連携、独自機能を壊す可能性があります。設定を理解しないままコードを貼り付けたり、出所不明の「修正プラグイン」を導入したりしないでください。サーバー会社が暫定防御を実施していても、それは本体更新の代わりにはなりません。

今後の運用で再発リスクを下げるポイント

今回のような緊急リリースに備え、平常時から「自動更新・バックアップ・確認」の3点を仕組みにしておくことが重要です。

• WordPressコアのマイナー・セキュリティ更新を原則有効にする
• 更新成功・失敗の通知メールを確認できる宛先に設定する
• ファイルとデータベースの自動バックアップを取り、復元テストも行う
• 使っていないプラグイン、テーマ、管理者アカウントを整理する
• 管理者アカウントに強固で使い回さないパスワードと多要素認証を使う
• サーバー容量、サイトヘルス、更新状況を定期的に点検する

よくある質問

wp2shellはプラグインの脆弱性ですか？

いいえ。今回公表された問題はWordPressコア、つまりWordPress本体に関するものです。プラグインを入れていないことだけを理由に安全とは判断できません。

WordPress 6.8.5はサイト乗っ取りの対象ですか？

6.8.0～6.8.5はCVE-2026-60137のSQLインジェクションの影響対象で、WordPress公式は6.8.6へ修正をバックポートしています。6.9系・7.0系で説明される完全なwp2shellのRCE攻撃チェーンとは範囲が異なりますが、6.8.6以降へ更新してください。

7.0.2へ更新すれば、すでに設置されたマルウェアも消えますか？

いいえ。アップデートは脆弱性を修正しますが、更新前に追加された不正アカウント、プラグイン、Webシェルなどを自動的にすべて除去するものではありません。不審な兆候がある場合は、ログや現状を保存して調査・復旧を検討します。

自動更新の完了はどこで確認できますか？

WordPress管理画面の「ダッシュボード」→「更新」で確認できます。更新通知メールだけで判断せず、実際に表示されるバージョンを確認してください。

古いWordPressなので今回の対象外でした。更新しなくてもよいですか？

今回の2件の対象外でも、古いバージョンには別の既知の問題が残る可能性があります。バックアップと互換性を確認し、サポートされている安定版への移行を検討してください。

サイトが普通に表示されていれば侵害されていませんか？

表示が正常でも、バックドアや不正アカウントが目立たない形で残る可能性があります。対象バージョンを更新し、管理者・プラグイン・ログなどに不審点がないか確認してください。

まとめ：自動更新任せにせず、実際のバージョンを確認する

wp2shellは、CVE-2026-63030とCVE-2026-60137が連携することで、WordPressコアに未認証の遠隔コード実行リスクを生じさせる重大な問題です。7.0系は7.0.2以降、6.9系は6.9.5以降、6.8系は6.8.6以降へ更新してください。

自動アップデートが有効でも、更新失敗は起こり得ます。管理画面でバージョンを確認し、更新後は不審な管理者・プラグイン・表示・ログがないかを点検しましょう。すでに侵害が疑われる場合は、慌てて削除する前に証拠と現在の状態を保存し、サーバー会社や保守・セキュリティの担当者へ相談してください。

参考情報

• WordPress.org：WordPress 7.0.2 Release
• WordPress.org：Updating WordPress
• WordPress.org日本語：自動バックグラウンド更新の設定
• Searchlight Cyber：wp2shell Pre Authentication RCE in WordPress Core
• Wiz Research：Exploitation in the Wild of wp2shell
• NHS England Digital：Critical Vulnerability Chain in WordPress Core Under Exploitation