WordPressサイトが乗っ取られる？wp2shellについて
先週末から話題になっていますが、WordPressで結構深刻な脆弱性が見つかったらしいです。
7月17日、WordPressが「持ち主に無断で」サイトをアップデートするという、なかなか強気な対応を取りました。深刻な脆弱性が見つかって、修正版(7.0.2など)を出すのと同時に、強制的な自動アップデートを発動したんです。管理画面を開いたら身に覚えのないバージョンアップが済んでた、というサイトが今週かなり増えてるはずです。
プラグインなしでサイトが乗っ取られる「wp2shell」
見つかったのは、2つの脆弱性を組み合わせる「wp2shell」という攻撃手法なんですが(CVE-2026-63030 / CVE-2026-60137)、成立するとログイン不要で第三者がサーバー上のプログラムを実行できてしまいます。改ざんとか情報窃取につながる、かなり深刻なやつです。
公表の数時間後にはもう実証コードが出回ってて、すでに実際の悪用が報告されてます。「そのうち対応しよう」が通用しないスピード感でした。
しかも今回、プラグインの話じゃなくてWordPress本体の問題です。「プラグインは全部最新にしてるから大丈夫」が、今回だけは通用しません。
影響を受けるバージョン
・6.9.0〜6.9.4 / 7.0.0〜7.0.1 → 対象。6.9.5 / 7.0.2への更新が必要です
・6.8系 → 一部だけ該当。6.8.6で修正済み
・6.7以前 → 対象外です(とはいえ別の古さのリスクはありますが)
とりあえず今日、確認してほしい3つ
バージョン、上記の修正版以上になってますか?
「自動更新オフ」のサイト、実は一番危ないです。強制アップデートは自動更新オンのサイトにしか届かないので。保守会社が管理してるサイトほど、意図的にオフにしてることが多いんですよね。
保守会社への確認は、一言で大丈夫です。「wp2shellへの対応、完了してますか?」って聞くだけ。返事の速さで、保守体制の実力もなんとなくわかったりします。
この機会にサイト構成や保守について見直しを
WordPressは世界のサイトの4割で使われています。この圧倒的なシェアは実績の証でもありますが、同時に、攻撃者から見れば「一番割に合う標的」であり続けるということでもあります。今回のような騒ぎが、これで最後とは考えにくいです。
一方で、最近はSaaS型CMSやヘッドレスCMSといった選択肢も普及してきています。構成によっては、そもそも今回のような「本体の脆弱性を突かれて即侵入」というリスク自体を設計段階で小さくできます。
今回の件は、サイト構成や保守体制を一度見直してみるいい機会だと思います。CMSの入れ替えや保守会社の変更を検討される際は、ぜひお気軽にお問い合わせください。