2026年7月、WordPressの重大な脆弱性「wp2shell（CVE-2026-63030）」が公表されました。
この脆弱性はWordPress本体（コア）に存在する問題であり、プラグインやテーマに関係なく影響を受ける可能性があります。
「自分のホームページは大丈夫？」「今すぐ何をすればいいの？」と不安に感じている方も多いのではないでしょうか。
この記事では、wp2shellの概要や影響を受けるバージョン、考えられるリスク、そして今すぐ実施すべき対策について、ホームページ制作会社の視点からわかりやすく解説します。
wp2shell（CVE-2026-63030）とは？
wp2shellとは、WordPress本体で発見された重大なセキュリティ脆弱性の通称です。
攻撃者が認証を回避し、サイトへ不正なコードを実行できる可能性がある深刻な脆弱性として報告されています。
プラグインが原因ではなく、WordPress本体そのものに関係する点が今回の特徴です。
どのような被害が考えられるのか
この脆弱性を悪用されると、次のような被害につながる恐れがあります。
- ホームページの改ざん
- Webシェル（不正プログラム）の設置
- 管理者アカウントの追加
- マルウェアの設置
- スパムページの大量生成
- 検索結果からの評価低下
- 訪問者へのウイルス配布
ホームページが「乗っ取られる」だけでなく、検索順位の低下や企業の信用失墜につながる可能性もあります。
影響を受けるWordPressのバージョン
公表時点では、以下のバージョンが影響を受けるとされています。
- WordPress 6.9.0〜6.9.4
- WordPress 7.0.0〜7.0.1
修正版は以下です。
- WordPress 6.9.5以降
- WordPress 7.0.2以降
現在のWordPressのバージョンを確認し、対象であればできるだけ早く更新しましょう。
WordPressのバージョン確認方法
管理画面へログインし、次の場所から確認できます。
- ダッシュボード
- 更新
- 概要
WordPressの更新通知が表示されている場合は、できるだけ早く対応することをおすすめします。
今すぐ行いたい対策
1. WordPressを最新版へ更新する
最も重要な対策は、WordPressを最新版へアップデートすることです。
修正版では今回の脆弱性への対策が含まれています。
2. 必ずバックアップを取得する
更新前には必ずバックアップを取得しましょう。
万が一表示崩れや不具合が起きても、元の状態へ戻せます。
3. 不審な管理者アカウントを確認する
管理者一覧に覚えのないユーザーが追加されていないか確認してください。
4. 不審なPHPファイルがないか確認する
uploadsフォルダなど、本来PHPファイルが存在しない場所にPHPファイルが増えている場合は注意が必要です。
5. セキュリティ対策を見直す
- WAFの有効化
- セキュリティプラグイン導入
- 定期バックアップ
- ログインURL変更
- 二段階認証
今回のような脆弱性だけでなく、今後の攻撃への備えにもなります。
実際によくある相談
「自動更新をOFFにしています」
表示崩れを心配して自動更新を停止しているケースは少なくありません。
しかし、セキュリティアップデートまで止めてしまうと、今回のような重大な脆弱性への対応が遅れてしまいます。
「更新するとホームページが壊れそうで怖い」
この不安も非常によく聞きます。
確かに古いテーマやプラグインでは更新後に不具合が起きることがあります。
そのため、制作会社では一般的に次の流れで対応します。
- バックアップ取得
- 更新
- 表示確認
- 問い合わせフォーム確認
- 必要に応じて復元
更新しないリスクの方が、更新によるリスクより大きいケースがほとんどです。
ホームページ制作会社として感じること
近年はWordPressの脆弱性が公開されると、数時間から数日で攻撃が始まるケースも珍しくありません。
「小さな会社だから狙われない」ということはなく、自動化された攻撃では企業規模に関係なく対象となります。
ホームページは公開して終わりではなく、公開後も継続的な保守・更新が重要です。
まとめ
wp2shell（CVE-2026-63030）は、WordPress本体で発見された非常に深刻な脆弱性です。
今回のポイントをまとめると次のとおりです。
- WordPress本体に影響する重大な脆弱性
- 古いバージョンは早急な更新が必要
- バックアップを取得してからアップデートする
- 不審な管理者やファイルも確認する
- 今後も継続的な保守・運用が重要
「自分のホームページが影響を受けるか分からない」「更新しても大丈夫か不安」という方は、当事務所以外のお客様でもお気軽にご相談ください。
ホームページの状態を確認し、安全なアップデートや運用方法についてご案内いたします。
情報源：WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html
