30秒で分かる結論

ブログや企業サイトで広く使われているソフトウェア「WordPress」の本体（プラグインなし）に、通称「wp2shell」と呼ばれる深刻な脆弱性ぜいじゃくせいが見つかりました。ログインしていない第三者が、対象のサイトで任意のプログラムを実行できてしまう問題で、WordPress公式チームは2026年7月17日に修正版を公開しています。JPCERT/CCも、複数のセキュリティ企業が実際の悪用を確認したとして注意を呼びかけています。

サイトを運営している人は、自分のWordPressのバージョンが最新の修正版になっているか、今すぐ確認してください。

まず初めに

「ログイン不要」「プラグイン不要」の脆弱性は、攻撃する側にとってはこの上なく親切設計だ。持ち主にとっては悪夢でしかないが。※個人の感想です

何が起きているのか

wp2shellは、2つの脆弱性（CVEしーぶいいー-2026-60137、CVE-2026-63030）を組み合わせた攻撃手法です。1つ目はデータベースへの不正な命令を紛れ込ませるSQLインジェクションえすきゅーえるいんじぇくしょん、2つ目はWordPressのREST APIれすとえーぴーあいの処理を混乱させる問題で、この2つを組み合わせることで、ログイン情報なしにサイトを乗っ取れる状態になっていました。

a website security shield blocking an unauthorized remote code execution attempt on a content management system, clean flat illustration, no text or logos

対象バージョンと対応方法

影響を受けるのはWordPress 6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1です。WordPress公式チームは、修正版として6.8.6・6.9.5・7.0.2を公開しており、深刻度の高さから、通常は管理者の操作を待つ自動更新の仕組みを使って、対象サイトへ強制的に配信する対応も取りました。

それでも自動更新が無効になっている環境などは対象外になる場合があるため、サイト運営者は管理画面でバージョンを確認し、古いままであれば手動で更新することが必要です。

なぜこれほど深刻なのか

一般的な脆弱性は、悪用にログイン情報や特定のプラグインの利用など、何らかの前提条件が必要です。wp2shellは、標準構成のWordPress本体だけで、ログイン情報なしに任意のプログラムを実行できてしまう点が突出しています。海外のセキュリティメディアでは、攻撃コード（エクスプロイト）が既に公開されており、高度な技術を持つ攻撃者でなくても悪用できる状態になっていると報じられています。

深刻度の高さを受けて、WordPress公式チームは、通常は管理者の判断を待つ自動更新の仕組みを使い、対象サイトへ修正版を強制的に配信するという異例の対応を取りました。それでも、自動更新を無効にしている環境や、更新が何らかの理由で失敗した環境は取り残される可能性があるため、最終的にはサイト運営者自身がバージョンを確認することが欠かせません。

IT Postの見方

IT Postでは、今回のように「ログイン不要」「プラグイン不要」で悪用できる脆弱性は影響範囲が広く、個人ブログを含むすべてのWordPress利用者が当事者になり得ると考えます。「自分のブログなんて誰も狙わない」は通用しません。攻撃は相手を選ばず、自動化されたプログラムが片っ端から探しにきます。自動更新に頼りきらず、自分のサイトのバージョンを定期的に確認する習慣が重要です。