# WordPressサイトが乗っ取られる？wp2shellについて 元のページ: セキュリティ 2026.07.22 先週末から話題になっていますが、WordPressで結構深刻な脆弱性が見つかったらしいです。 7月17日、WordPressが「持ち主に無断で」サイトをアップデートするという、なかなか強気な対応を取りました。深刻な脆弱性が見つかって、修正版(7.0.2など)を出すのと同時に、強制的な自動アップデートを発動したんです。管理画面を開いたら身に覚えのないバージョンアップが済んでた、というサイトが今週かなり増えてるはずです。 ## プラグインなしでサイトが乗っ取られる「wp2shell」 見つかったのは、2つの脆弱性を組み合わせる「wp2shell」という攻撃手法なんですが(CVE-2026-63030 / CVE-2026-60137)、成立するとログイン不要で第三者がサーバー上のプログラムを実行できてしまいます。改ざんとか情報窃取につながる、かなり深刻なやつです。 公表の数時間後にはもう実証コードが出回ってて、すでに実際の悪用が報告されてます。「そのうち対応しよう」が通用しないスピード感でした。 しかも今回、プラグインの話じゃなくてWordPress本体の問題です。「プラグインは全部最新にしてるから大丈夫」が、今回だけは通用しません。 ## 影響を受けるバージョン ・6.9.0〜6.9.4 / 7.0.0〜7.0.1 → 対象。6.9.5 / 7.0.2への更新が必要です ・6.8系 → 一部だけ該当。6.8.6で修正済み ・6.7以前 → 対象外です(とはいえ別の古さのリスクはありますが) ## とりあえず今日、確認してほしい3つ 1. バージョン、上記の修正版以上になってますか? 2. 「自動更新オフ」のサイト、実は一番危ないです。強制アップデートは自動更新オンのサイトにしか届かないので。保守会社が管理してるサイトほど、意図的にオフにしてることが多いんですよね。 3. 保守会社への確認は、一言で大丈夫です。「wp2shellへの対応、完了してますか?」って聞くだけ。返事の速さで、保守体制の実力もなんとなくわかったりします。 ## この機会にサイト構成や保守について見直しを WordPressは世界のサイトの4割で使われています。この圧倒的なシェアは実績の証でもありますが、同時に、攻撃者から見れば「一番割に合う標的」であり続けるということでもあります。今回のような騒ぎが、これで最後とは考えにくいです。 一方で、最近はSaaS型CMSやヘッドレスCMSといった選択肢も普及してきています。構成によっては、そもそも今回のような「本体の脆弱性を突かれて即侵入」というリスク自体を設計段階で小さくできます。 今回の件は、サイト構成や保守体制を一度見直してみるいい機会だと思います。CMSの入れ替えや保守会社の変更を検討される際は、ぜひお気軽にお問い合わせください。 この記事をシェア ## 最新の記事 [セキュリティ 2026.10.20](https://chot-inc.com/columns/contact-form-spam-protection-comparison) ### [問い合わせフォームのスパム対策を比べる — CAPTCHA・時間判定・レート制限の選び方](https://chot-inc.com/columns/contact-form-spam-protection-comparison) [開発 2026.10.20](https://chot-inc.com/columns/apple-app-review-guidelines-nudify-2-5-19) ### [AppleがApp Reviewガイドラインを改定、AI「ヌード化」アプリと審査後の機能追加を明文で禁止](https://chot-inc.com/columns/apple-app-review-guidelines-nudify-2-5-19) [AI最新情報 2026.10.20](https://chot-inc.com/columns/chatgpt-slides-availability-and-limits) ### [ChatGPT Slidesとは何か──使える条件・共同編集の仕様・導入前に確認すべき制約](https://chot-inc.com/columns/chatgpt-slides-availability-and-limits) [コラム一覧](https://chot-inc.com/columns)