【重要】WordPress本体に重大な脆弱性「wp2shell」早急なアップデートを推奨

2026年7月17日、WordPress本体に関する重要なセキュリティアップデートが公開されました。

今回修正されたのは、第三者がログインせずにデータベースへ不正な操作を行ったり、条件がそろうとサーバー上で不正なプログラムを実行したりできる可能性がある、重大な脆弱性です。この一連の問題は、セキュリティ関係者の間で「wp2shell」と呼ばれています。

今回の問題はプラグインやテーマではなく、WordPress本体に存在します。そのため、プラグインをほとんど使用していないWordPressサイトでも、対象バージョンを利用している場合は早急なアップデートが必要です。

※本記事は2026年7月21日時点で公開されている情報をもとに作成しています。

今回発見されたWordPressの脆弱性とは

今回のセキュリティアップデートでは、WordPress本体に存在した次の2つの問題が修正されました。

1．データベースへ不正にアクセスされる可能性

Webサイトへ特別に加工したリクエストを送ることで、第三者がWordPressのデータベースに対して不正な処理を行える可能性がありました。これは「SQLインジェクション」と呼ばれる攻撃です。

悪用された場合、Webサイト内の情報を不正に取得されるなどの被害につながるおそれがあります。

2．サーバー上で不正なプログラムを実行される可能性

WordPressのREST APIに関する問題と、前述のSQLインジェクションを組み合わせることで、ログインしていない第三者がサーバー上で不正なプログラムを実行できる可能性がありました。

この問題は、WordPressのプラグインやテーマではなく「WordPress本体」に存在します。そのため、プラグインを使用していないサイトであっても、対象バージョンを使用していれば影響を受ける可能性があります。

影響を受けるWordPressのバージョン

現在使用しているWordPressのバージョンによって、必要な対応が異なります。

WordPress 6.7以前は今回の脆弱性の対象外とされていますが、「古いバージョンでも安全」という意味ではありません。

古いWordPressには、過去に修正された別の脆弱性が残っている可能性があります。利用しているテーマやプラグイン、サーバーのPHPバージョンなどを確認したうえで、最新版への移行をご検討ください。

アップデートしない場合に考えられる被害

今回の脆弱性を悪用された場合、次のような被害につながる可能性があります。

• Webサイトの内容を書き換えられる
• 身に覚えのない管理者アカウントを作成される
• データベース内の情報を不正に取得される
• マルウェアや不正なプログラムを設置される
• 閲覧者が別のWebサイトや広告ページへ転送される
• 検索結果に身に覚えのないページが表示される
• Webサイトが表示できなくなる

修正版の公開後、脆弱性を狙ったとみられる通信が短時間のうちに確認されています。また、攻撃方法を検証するための情報も公開されているため、対象サイトはできるだけ早く対応することが重要です。

WordPressのバージョンを確認する方法

WordPressの管理画面へログインし、次のいずれかの場所で現在のバージョンをご確認ください。

1. 管理画面の「ダッシュボード」→「概要」を開く
2. 管理画面の「ダッシュボード」→「更新」を開く
3. 管理画面の右下に表示されているWordPressのバージョンを確認する

現在使用している系統に応じて、「6.8.6」「6.9.5」「7.0.2」以上になっていれば、今回の脆弱性に対する修正は適用されています。

WordPressを安全にアップデートする手順

WordPressのアップデートは、次の手順で行うことを推奨します。

1. Webサイトのファイルとデータベースをバックアップする
2. 使用しているテーマやプラグインが更新後のWordPressに対応しているか確認する
3. 可能であればテスト環境で表示や機能を確認する
4. WordPress本体を修正版へアップデートする
5. テーマとプラグインも安全な最新版へ更新する
6. Webサイトやサーバーのキャッシュを削除する
7. 公開ページ、管理画面、お問い合わせフォームなどの動作を確認する

今回の更新は緊急性が高いため、大規模なバージョンアップに不安がある場合は、まず現在と同じ系統の修正版へ更新する方法があります。

• 6.8系を利用中の場合：6.8.6以上へ更新
• 6.9系を利用中の場合：6.9.5以上へ更新
• 7.0系を利用中の場合：7.0.2以上へ更新

バックアップを取らずに更新しないでください

WordPress本体だけを更新しても、古いテーマやプラグインとの互換性によって、レイアウトの崩れや機能停止が発生することがあります。特に、長期間更新していないサイトや独自にカスタマイズされたサイトは注意が必要です。

更新前には、必ずWebサイトのファイルとデータベースの両方をバックアップしてください。

自動更新されていても確認が必要です

今回の問題は影響が大きいため、WordPress公式チームは対象バージョンに対する自動更新を有効化しています。

ただし、次のような理由で自動更新が完了していない場合があります。

• WordPressの自動更新が無効になっている
• サーバー上のファイル権限に問題がある
• サーバーの空き容量が不足している
• サーバーやプラグインの設定によって更新が止められている
• 更新処理中にエラーが発生している

「自動更新されたはず」と判断せず、WordPressの管理画面で実際のバージョンをご確認ください。

更新後に確認しておきたいこと

アップデート後は、Webサイトが正常に動いているかだけでなく、すでに不正アクセスを受けていないかも確認することを推奨します。

• 身に覚えのない管理者アカウントが作成されていないか
• 意図しないプラグインやテーマが追加されていないか
• WordPress内のファイルに不審な変更がないか
• 海外サイトや広告ページへ勝手に転送されないか
• 検索結果に身に覚えのないページが表示されていないか
• サーバーのアクセスログやエラーログに不審な記録がないか
• セキュリティスキャンでマルウェアが検出されないか

すでに改ざんされている場合、WordPressを更新するだけでは、不正なファイルや管理者アカウントが残ることがあります。その場合は、正常なバックアップとの比較や、サーバー内のファイル調査が必要です。

WordPress本体以外の更新も重要です

今回の「wp2shell」はWordPress本体の問題ですが、テーマやプラグインにも個別の脆弱性が発見されることがあります。

WordPress本体を更新した後は、利用中のテーマとプラグインについても次の点をご確認ください。

• 開発元が配布している安全な最新版になっているか
• 長期間更新されていないプラグインを使用していないか
• 使用していないテーマやプラグインが残っていないか
• 公式配布やサポートが終了したプラグインを使用していないか

使用していないプラグインは、無効化するだけでなく、今後も必要がなければ削除することを推奨します。

WordPressの更新やセキュリティ確認でお困りの方へ

株式会社ソシオラでは、WordPress本体・テーマ・プラグインの更新、バックアップ、アップデート後の動作確認、不正アクセスや改ざんの調査、WordPressサイトの保守・運用に関するご相談を承っています。

次のような場合は、無理にご自身で更新せずご相談ください。

• 長期間WordPressを更新していない
• 制作会社と連絡が取れず、管理方法が分からない
• 更新によってWebサイトが壊れないか不安
• WordPressの管理画面へログインできない
• すでに不審な表示や別サイトへの転送が発生している
• 複数のWordPressサイトをまとめて確認したい

保守契約中のお客様は、ご契約内容によって対応範囲が異なります。現在の対応状況が分からない場合は、弊社担当者までお問い合わせください。

WordPressサイト制作・開発・外注・代行サービスについて詳しく見る

よくあるご質問

プラグインを使っていなくてもアップデートは必要ですか？

はい。今回はWordPress本体の脆弱性であるため、対象バージョンを使用している場合は、プラグインやテーマの利用状況にかかわらずアップデートが必要です。

WordPress 6.7以前なら何もしなくても大丈夫ですか？

今回発表された2つの脆弱性の直接的な対象ではありませんが、古いWordPressには過去に発見された別の脆弱性が残っている可能性があります。テーマやプラグイン、PHPの互換性を確認しながら、計画的に最新版へ更新してください。

自動更新の通知メールが届いていれば安心ですか？

更新成功の通知であれば、今回の修正版が適用されている可能性があります。ただし、管理画面の「更新」を開き、実際のWordPressバージョンが、現在使用している系統の修正版以上になっているか確認することを推奨します。

アップデートすれば、すでに受けた攻撃も解消されますか？

いいえ。アップデートは、脆弱性を利用した今後の攻撃を防ぐための対策です。すでに不正なファイルや管理者アカウントが設置されている場合、それらは更新後も残る可能性があります。不審な挙動がある場合は、別途セキュリティ調査が必要です。

すぐに最新版へ上げるのが不安です。どうすればよいですか？

まずバックアップを取得し、可能であればテスト環境で確認します。緊急対策として現在利用している系統の修正版へ更新し、その後にテーマやプラグインの互換性を確認しながら最新版へ移行する方法もあります。

参考情報

• WordPress 7.0.2 Release（WordPress.org）
• WordPress本体の脆弱性に関する注意喚起（Wordfence）
• wp2shell公開後の攻撃状況（Wordfence）

この記事を書いた人

株式会社SOCIOLA 河田邦昭

株式会社SOCIOLA代表取締役。 2009年よりWEB業界に従事し、2016年に株式会社SOCIOLAを設立。 これまで1000件以上のホームページ制作/運用の実績を経験。 WordPress制作、WordPressカスタマイズ、通販サイト制作、SEO対策、WEB広告など幅広く経験。 お客さまの「成功」を目的に、最高のホームページを常に追求し、結果に繋がるホームページを提供します。 WEBについてわからない方に、わかりやすくコミュニケーションを取れると評価を頂いております。 ホームページに困ったこと、相談したいことがある方はお気軽にご相談ください。