wp2shellは、2026年7月に修正されたWordPress本体の2つの脆弱性の組み合わせで、ログインなしで遠隔からプログラムを実行されるおそれがありました。WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1のまま残っているサイトは、すぐに更新してください。更新済みでも、更新前に侵入されていないかの確認までが対策です。
結論：対象のバージョンなら、今すぐ更新と侵入の確認を
この記事は、WordPressでサイトを持っていて「wp2shellという言葉を見かけたけれど、自分に関係あるのか分からない」という方に向けて書いています。
先に、やることを3つにまとめます。
- バージョンを確かめる
WordPressの管理画面で、今のバージョンを見ます。6.9.0〜6.9.4、7.0.0〜7.0.1、6.8.0〜6.8.5なら対象です。 - 対象なら、すぐ更新する
最新版へ更新します。2026年10月29日時点の最新は7.1.4です。 - 侵入の跡がないか確かめる
知らない管理者ユーザー、身に覚えのないプラグインやファイルがないかを見ます。
すでに最新版を使っている場合も、3つめの確認だけはしておくと安心です。理由は後の章で説明します。
wp2shellとは：2つの穴の組み合わせ
wp2shell（ダブリューピー・ツー・シェル）は、1つの脆弱性の名前ではありません。WordPress本体で見つかった2つの脆弱性を組み合わせた攻撃の呼び名です。
| 番号 | WordPress公式の説明（要約） | 深刻度 |
|---|---|---|
| CVE-2026-60137 | 記事を取り出す仕組み（WP_Query）の一部の指定で、データベースへの不正な命令（SQLインジェクション）を起こしやすくなる穴 | 2件のうち1件が「深刻（critical）」、1件が「重要（high）」 |
| CVE-2026-63030 | REST API（外部からサイトを操作する窓口）の「まとめて処理する機能」での取り違えと、SQLインジェクション。遠隔からのプログラム実行につながる |
IPAは、この2つを組み合わせると、標準の構成のまま、管理者の権限などがなくても、攻撃者が遠隔からプログラムを実行できる可能性があると説明しています。
「シェルを取られる」とはどういうことか
名前の「shell（シェル）」は、サーバーに命令を出す入口のことです。シェルを取られると、攻撃者はサイトの持ち主と同じように、ファイルを書き換えたり、新しいファイルを置いたりできるようになります。
つまり、ページの改ざん、偽ページの大量作成、訪問者を別サイトへ飛ばす仕掛けなど、WordPressが攻撃されたら何が起きる？で紹介した被害のほとんどが起こり得る状態です。
対象のバージョンと、修正されたバージョン
WordPress公式の発表と、IPAの注意喚起をもとに整理します。
| 今のバージョン | wp2shellの影響 | 修正版 |
|---|---|---|
| 7.0.0〜7.0.1 | 2つとも影響あり | 7.0.2 |
| 6.9.0〜6.9.4 | 2つとも影響あり | 6.9.5 |
| 6.8.0〜6.8.5 | 1つめ（CVE-2026-60137）だけ影響あり | 6.8.6 |
| 6.8より前 | 影響を受けないとされている | ― |
| 7.1のベータ版 | 2つとも影響あり | 7.1 Beta 2 |
修正版の番号は「その系列で最低限ここまで上げる」という目安です。実際には、その後もセキュリティ修正が出ているため、最新版まで上げるのが基本です。2026年10月29日時点の最新は7.1.4（10月28日公開）です。
2026年に起きたこと（時系列）
| 日付 | 出来事 |
|---|---|
| 2026年7月17日 （日本時間18日） | WordPress 7.0.2、6.9.5、6.8.6を公開。影響のあるサイトには、WordPress.orgが自動更新の仕組みで強制的に更新を配信 |
| 2026年7月21日 （現地時間） | 米国CISAが、2つの脆弱性を「実際に悪用された脆弱性」の一覧（KEVカタログ）に掲載（IPAの注意喚起による） |
| 2026年7月22日 | IPAが注意喚起を公開。脆弱性を実証するコードが公開されており、悪用が広がるおそれがあると説明 |
| 2026年8月19日 | WordPress 7.1を公開（wp2shellの修正を含む系列） |
| 2026年10月 | 京都教育大学のWebサイトで、wp2shellの悪用によりページの一部が改ざんされていたと報じられています（セキュリティ対策Lab） |
| 2026年10月28日 | WordPress 7.1.4を公開。wp2shellとは別の、複数のセキュリティ修正を含む |
公開から悪用の一覧への掲載まで、わずか数日でした。狙われやすい穴は、公表された直後から攻撃が始まります。この速さについてはAIが脆弱性を見つける時代でも解説しています。
国内の事例から分かること
報道によれば、被害が見つかったのは修正の公開から数日後で、サイトの公開を再開するまでにはさらに時間がかかったとされています。ここから分かるのは、強制的な自動更新が配られていても、それより前、あるいは更新が届かなかった環境では被害が起き得るということです。大学に限らず、学科ごと・部署ごとにサイトを分けて持っている組織では、1つでも更新が遅れたサイトがあれば入口になります。
「自動更新されたはず」で終わらせてはいけない理由
wp2shellでは、WordPress.orgが強制的な自動更新を有効にしました。それでもIPAは、管理画面でバージョンを確かめるよう呼びかけています。自動更新が働かない、または失敗する原因には、例えば次のようなものがあります。
- 設定で自動更新を止めている：WordPressの設定ファイル（wp-config.php）で、自動更新をすべて止める設定ができます。制作会社が「更新で表示が崩れないように」と止めていることがあります。
- サーバーの権限の問題：ファイルを書き換える権限が足りないと、更新が途中で失敗することがあります。
- サイトが動いていない、見られていない：自動更新は、サイトにアクセスがあったときに動く仕組みを使います。ほとんど誰も見ていない古いサイトでは、更新が遅れることがあります。
- 制作会社の管理ツールで更新を止めている：複数のサイトをまとめて管理するツールやプラグインで、自動更新を無効にしている場合があります。
どれに当たるかはサイトによって違います。「たぶん更新されている」ではなく、実際の数字で確かめることが大切です。
自分のサイトが対象か確かめる3つの方法
方法1：管理画面で見る（いちばん確実）
- 管理画面にログインする
いつもの管理画面（多くの場合は「サイトのURL/wp-admin/」）に入ります。 - 「ダッシュボード」→「更新」を開く
今のバージョンと、新しいバージョンがあるかが表示されます。 - 表の範囲に入っていないか見る
6.9.0〜6.9.4、7.0.0〜7.0.1、6.8.0〜6.8.5なら、すぐに更新します。
方法2：サーバーのファイルで見る（ログインできない場合）
サーバーのファイル管理画面やFTPで、WordPressのフォルダの中にある wp-includes/version.php を開くと、$wp_version の行に今のバージョンが書かれています。管理画面のパスワードが分からなくなった場合でも、サーバーに入れれば確かめられます。
方法3：制作会社・保守会社に聞く
自分で触れない場合は、次の3点を文章で確かめてもらうと、答えがあいまいになりにくくなります。
- 今のWordPressのバージョン（数字で）
- wp2shellの修正版（6.9.5／7.0.2／6.8.6以降）に、いつ更新したか
- 更新の前後で、知らない管理者ユーザーや不審なファイルがないか確かめたか
更新したあとに確かめたい、侵入の跡
更新は穴をふさぐだけで、更新前に侵入されていた場合、仕掛けられたものは残ります。特に、修正版が出た2026年7月中旬より後まで対象のバージョンのままだったサイトは、次の点を確かめてください。
- 「ユーザー」の一覧に、知らない管理者がいない
- 「プラグイン」の一覧に、入れた覚えのないものがない
- 画像を置くフォルダ（wp-content/uploads）に、画像ではないPHPファイルがない
- Googleで「site:自分のドメイン」と検索して、知らないページが出てこない
- Search Consoleの「セキュリティの問題」に何も出ていない。所有者に知らない人がいない
- スマートフォンで検索結果からサイトを開いて、別のサイトに飛ばされない
1つでも当てはまる場合は、あわてて消さずに記録を残し、サーバー会社や専門の会社に相談してください。被害に気づいたときの手順は被害に気づいたら最初にやることにまとめています。
wp2shellから分かること
wp2shellは、WordPressを使い続けるうえで、次の3つのことを示しました。
| 起きたこと | 分かること |
|---|---|
| 本体に重大な穴が見つかった | プラグインを減らすだけでは守りきれない年もある |
| 修正から数日で悪用の一覧に載った | 「月に1回の更新」では間に合わないことがある |
| 強制的な自動更新があっても、確認が呼びかけられた | 「更新したつもり」を数字で確かめる人と仕組みが必要 |
2026年は、10月にもWordPressの土台であるPHPに重大な穴（PHP2Shell）が見つかりました。こちらはWordPressを更新しても直らず、PHPの更新が必要です。詳しくはWordPressセキュリティの今をご覧ください。
こうした対応を続けられる体制があれば、WordPressは今後も使えます。続けるのが難しい場合は、本体やPHPが外から見えない仕組みへ移ることも選択肢です。どんな乗り換え先があるかはWordPressからの乗り換え先5つを比較で整理しています。
よくある質問
wp2shellの対象になるのは、どのバージョンですか？
2つの穴の両方があるのは、WordPress 6.9.0〜6.9.4と7.0.0〜7.0.1です。1つめの穴（CVE-2026-60137）だけは6.8.0〜6.8.5にもあります。6.8より前のバージョンは影響を受けないとされています。修正版は6.9.5、7.0.2、6.8.6です。
WordPress 6.7など古いバージョンなら、安全ということですか？
wp2shellの影響は受けないとされていますが、安全という意味ではありません。古いバージョンには、その後に見つかった別の穴が残っている可能性があります。WordPressは、最新のバージョンだけを積極的にサポートしていると案内しています。
自動更新をオンにしていたので、何もしなくて大丈夫ですか？
管理画面で、実際に修正版以降になっているかを確かめてください。WordPress.orgは強制的な自動更新を有効にしましたが、IPAは、環境や設定によっては自動更新が有効でなかったり、更新に失敗したりしている可能性があるとしています。
更新したのに、まだ危ないことはありますか？
あります。更新は穴をふさぎますが、更新前に侵入されていた場合、仕掛けられたものは残ります。知らない管理者ユーザーや、身に覚えのないプラグイン・ファイルがないかも確かめてください。
今は7.1系です。wp2shellのことはもう気にしなくていいですか？
7.1系の正式版にはwp2shellの修正が含まれています。ただし、2026年10月28日にもセキュリティ修正を含む7.1.4が出ています。wp2shellに限らず、最新版への更新を続けることが大切です。
自分で確かめるのが難しい場合は、どうすればいいですか？
サイトを作った制作会社や保守会社に、今のバージョンと更新の記録を確かめてもらってください。連絡が取れない場合は、当センターの無料サイト診断で、外から読み取れる範囲のバージョンと危険度をお返しします。
参照元
- WordPress.org：WordPress 7.0.2 Release（2026年7月17日）
- WordPress.org 日本語：WordPress 7.0.2リリース
- IPA：WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）（2026年7月22日）
- WordPress.org：Release Archive（各バージョンの公開日）
- WordPress.org：WordPress 7.1.4（2026年10月28日）
- WordPress Developer Resources：自動更新の設定（AUTOMATIC_UPDATER_DISABLED など）
- 報道：セキュリティ対策Lab：京都教育大学の6サイトに不正アクセス、WordPress脆弱性「wp2shell」悪用でページ改ざん（大学の公式発表は、この記事の作成環境から開けず未確認）
- 最終確認日：2026年10月29日
URLを送るだけで、外から読み取れる範囲でWordPressやPHPのバージョンと危険度をお返しします。
運営：株式会社イメージ・ジャパン（1997年創立）。WordPressからの乗り換えと乗り換え後の見守りのほか、Web制作・SEO、AI導入支援、自社AIツール（VCT・Symphy・Mapvoice AI）の開発・運営を手がけています。
