「wp2shell」というWordPressの脆弱性について、ニュースやSNSで見聞きして気になっている方もいるのではないでしょうか。
「緊急」「脆弱性」という言葉だけを見ると身構えてしまいますが、結論を先にお伝えすると、WordPress本体を最新版に更新するだけで対策は完了します。すでにWordPress側やサーバー会社側の対応によって、気づかないうちに更新が済んでいるケースも多くあります。
当記事では、wp2shellがどんな脆弱性だったのか、あなたのサイトが対象かを確認する方法を解説します。
wp2shellとは？
wp2shellは、2026年7月17日に発表された、WordPress本体（プラグインやテーマではなく、WordPressそのもの）に存在していた脆弱性の通称です。
セキュリティ機関はこの脆弱性を「緊急（Critical）」に分類しました。ログインしていない第三者が、パスワードを知らなくてもサイトを乗っ取れる可能性がある、という点が最大の理由です。
ログイン不要で攻撃できてしまう
通常、サイトを乗っ取るような攻撃には、管理者アカウントのIDとパスワードなどの認証情報が必要です。
wp2shellが厄介なのは、これらの認証情報なしでデータベースを不正に操作されてしまうことです。
WordPressのREST API（外部からデータをやり取りする仕組み）の不具合を突いて、不正な管理者アカウントが作成可能だったことが原因でした。ログインなしで、悪意のあるプラグインを送り込むことも十分可能だったわけです。
すでに実際の攻撃が確認されている
この脆弱性は、発表からまもなく実際の攻撃に使われていることが確認され、2026年7月21日には米国CISA（サイバーセキュリティ機関）の「悪用が確認された脆弱性」のリストにも追加されました。話題になったのは、こうした背景があるためです。
次の章の対応さえ済んでいれば、過度に心配する必要はありません。
対象のWordPressのバージョン
wp2shellの影響を受けるのは、以下のバージョンです。
| WordPressのバージョン | 状態 |
|---|---|
| 7.0.2以降 | 修正済み |
| 7.0.0〜7.0.1 | 対象（要更新） |
| 6.9.5以降 | 修正済み |
| 6.9.0〜6.9.4 | 対象（要更新） |
| 6.8.6以降 | 修正済み |
| 6.8.0〜6.8.5 | 関連する脆弱性の対象（要更新） |
| 6.7以前 | wp2shellの対象外（ただし別の理由で更新は推奨） |
ここで少しややこしいのが、「バージョン番号が新しければ安全」とは限らないという点です。まずは自分がどの系統（6.8系／6.9系／7.0系）を使っているかを確認し、上の表と照らし合わせて判断してください。
対応方法：WordPressのバージョンを更新する
対応はシンプルです。WordPress本体を、上の表にある修正済みバージョン（またはそれ以降）に更新してください。プラグインやテーマ側での対応は必要ありません。
WordPress本体の更新（アップデート/ダウングレード）する方法について解説します。 アップデートに大幅な変更があると、テーマやプラグインに影響を与える可能性があります。アップデートの前には下記を参考に必ずバックアップをとってください。 WordPressのアップデートは...
すでに自動更新されているケースも多い
WordPressにはもともと、軽微な更新を自動で適用する仕組みがあります。
今回は影響が大きいため、WordPress開発チームは自動更新が有効なサイトに対して、この修正パッチを強制的に配信したと発表しています。
つまり、普段からWordPress管理画面を開いていない方でも、すでに対策が完了している可能性は十分にあるということです。
レンタルサーバー側で対応済みのケースもある
契約しているレンタルサーバー会社が、利用者に代わって緊急対応していたケースもあります。
たとえばエックスサーバーは、緊急措置として2026年7月31日から8月25日にかけて順次アップデートを実施したとアナウンスしています。
【重要】WordPressの脆弱性（wp2shell）に関する注意喚起とサーバー側対策のお知らせ
当メディアはエックスサーバーで運用していますので、対象サイトが自動でアップデートされていました。脆弱性を回避するためなので、こういった臨機応変な対応はとても助かりますね。
念のため確認しておきたいこと
WordPressの管理画面にログインし、左メニューのダッシュボード > 更新を開きます。
表示されているバージョン番号が、上記表の「修正済み」に該当していれば対応完了です。もし古いバージョンのままだった場合は、同じ画面から「今すぐ更新」を押すだけで最新版になります。
- 心当たりのない管理者アカウントが追加されていないか
- 身に覚えのないプラグインがインストールされていないか
- セキュリティプラグインを導入している場合は、最新のスキャンを一度実行する
これらに不審な点がなければ、通常どおりサイトを運用して問題ありません。
まとめ
wp2shellは「緊急」と名の付く深刻な脆弱性ですが、対応そのものは特別なことではなく、WordPressをいつもどおり最新版に更新するだけです。
自動更新によってすでに対策済みのサイトも多いため、まずは管理画面でバージョンを確認し、必要であれば更新する。それだけで十分な対策になります。
日頃からWordPress本体・プラグイン・テーマを最新の状態に保っておくことが、こうした脆弱性への一番のそなえになります。
弊社では「サイトが乗っ取られたかもしれません」というご相談を、何度か受けたことがあります。 実際に見てみると、原因はだいたい似通っています。特別なハッキング技術が使われているケースはほとんどなく、むしろ「よくある管理の抜け」を突かれていることがほとんどです。 実生活でいう戸締りのようなも...
より厳重にしたい方は、REST API自体を制限しておくのも有効な追加策です（wp2shellもREST APIの処理を悪用したものでした）。
デフォルト設定（初期状態）のままのWordPressサイトでは、ユーザー名が漏えいしている可能性があります。そのまま放置していると、不正ログインのリスクが高まります。 そこで当記事では、見落としやすい3つのリスク（ログインページ、投稿者情報、REST API）と対策をご紹介します。 ...
WordPressテーマ集
コメント