WordPressの重大な脆弱性「wp2shell」｜自分のサイトが大丈夫か確かめる方法と、更新で気をつけること

「WordPressに重大な脆弱性が見つかった」「wp2shell」という言葉を、ニュースやサーバー会社からの案内で目にした方も多いと思います。WordPressで作ったホームページを持っていると、まず気になるのは「うちのサイトは大丈夫なのか」「何をすればいいのか」ではないでしょうか。

この記事では、wp2shellがどういう穴なのかを技術に詳しくない方向けに説明したうえで、対象になる版と直った版、自分のサイトの版の確かめ方、見覚えのない管理者がいないかの確かめ方、自動更新に任せきりにしないほうがよい理由、そして更新したあとに一部のページが白紙になったときの考え方を順に説明します。

wp2shellは、WordPress本体にあった穴

wp2shellは、2026年7月17日にWordPressの公式が修正版を出して公表した、WordPress本体の脆弱性の呼び名です。番号はCVE-2026-63030とCVE-2026-60137の2つで、本体にあった2つの欠陥を組み合わせて使われます。

組み合わせて使われると、ログインしていない人が、外からサイトを乗っ取れるおそれがあります。サイト上で勝手にプログラムを動かされたり、不正な管理者のアカウントを作られたりする、という種類の穴です。情報処理推進機構（IPA）も2026年7月22日に注意喚起を出しています。米国の政府機関（CISA）が「実際に悪用が確認された脆弱性」の一覧に載せており、攻撃のための手順も公開されているため、狙われている穴だと考えてください。

ポイントは、プラグインやテーマではなく本体の穴だという点です。どのプラグインを入れているかに関係なく、本体の版で、対象かどうかが決まります。

対象になる版と、直った版

WordPressの公式と、調査を公表したセキュリティ会社の説明をまとめると、次のとおりです。

ただし、wp2shellが当てはまらないから安全、とは限りません。WordPressは2026年9月にも、別の重要な穴（CVE-2026-87902）を直す更新を出しています。こちらは古い版まで広く当てはまり、7.1.2、7.0.6、6.9.9、6.8.10など、それぞれの系統の新しい版で直っています。確かめるときは「wp2shellの修正版を超えているか」だけでなく、自分の系統の最新の版まで上がっているかを見てください。かなり古い版のまま止まっている場合の考え方は、WordPressを更新せずに放置する危険と、安全に最新化する方法で説明しています。

自分のサイトの版を確かめる

WordPressの管理画面にログインし、左のメニューの「ダッシュボード」から「更新」を開きます。この画面に、いまの本体の版が出ます。最新の版になっていれば「最新バージョンのWordPressをお使いです」という表示になり、古ければ新しい版への更新ボタンが出ます。

見るときは、次の2つを確かめます。

• 本体の版の数字：上の表で対象の範囲に入っていないか、自分の系統の最新まで上がっているか
• WordPress本体の更新が出ていないか：「更新」画面にはプラグインやテーマの更新も並ぶので、本体の欄を分けて見る。本体の新しい版が出ていれば、まだ上がりきっていない

本体が古いままだった場合も、すぐに更新する前に、次の節の手順で管理者の一覧を確かめてください。見覚えのない管理者がいなければ、サイトのファイルとデータベースのバックアップを取り、同じ「更新」画面の「今すぐ更新」から本体を更新します。ただし、管理者がいないことは入られていない証明にはなりません。対象の版を使っていた期間がある場合は、更新のあとで、管理者を含む全ユーザーのパスワードも変えておいてください。更新が終わったら、もう一度この画面で版を確かめ、ページの表示を見ます。お問い合わせフォームは実際にテスト送信して通知が届くか、予約の機能はテストの操作で受付まで進めるかも確かめてください。見覚えのない管理者がいた場合は、更新より先に、次の節で説明する記録の保存を行います。

管理画面に入れない、ログイン情報が分からない、という場合は、まずそこを解決する必要があります。確かめ方はホームページの管理画面に入れないときにまとめています。

見覚えのない管理者がいないか確かめる

版を確かめたら、次は「すでに入られていないか」を見ます。管理画面の「ユーザー」を開くと、上に「管理者」「編集者」など権限ごとの絞り込みがあります。「管理者」を押して、並んでいる管理者に見覚えがあるかを1件ずつ見てください。

この攻撃を調べたセキュリティ会社（Eye Security）は、攻撃の道具が作る管理者の特徴として、次のような名前とメールアドレスを公表しています。

• ユーザー名が「wp2_」「w2s_」で始まる
• メールアドレスが「@wp2shell.invalid」「@wp2shell.shellcode.lol」で終わる

これに当てはまらなくても、社内の誰のものか分からない管理者がいれば要注意です。攻撃の道具は1種類ではないので、名前の付け方は上の型に限りません。

反対に、管理者の一覧がきれいでも「入られていない」とは言い切れません。攻撃に使われる道具には、作った管理者や仕掛けたファイルを後で消すものがあると報告されています。いまは直った版になっていても、対象の版を使っていた期間がある場合は、管理者の一覧だけで入られていないとは判断できません。気になる点があれば、専門の業者にサーバーの中や記録まで見てもらうことをおすすめします。

見覚えのない管理者が見つかった場合は、すぐに消さないでください。消したり更新したりすると、どこから入られ、何をされたかを調べる手がかりが失われることがあります。訪問者に被害が及んでいるようなら公開を一時的に止めることを優先し、そのうえで、画面の記録に加えて、いまのファイルとデータベース、取れるアクセスログなどを保存してから、専門の業者と一緒に、本体の更新、管理者を含む全ユーザーのパスワードの変更、改ざんされたファイルが無いかの調査を進めます。進め方はホームページが改ざんされた・乗っ取られたときに今すぐやることにまとめています。

「自動更新で直っているはず」が当てはまらないこともある

WordPressは、本体の小さな更新（セキュリティの修正を含む更新）を、自動で当てる仕組みを持っています。今回WordPressの公式は、対象の版のサイトに自動更新で修正を届ける措置もとりました。ただし、それぞれのサイトで実際に更新が当たったかどうかは別の話です。

ただし、次のような場合は自動更新が届かず、古い版のまま止まっていることがあります。

• 設定で自動更新を止めている：制作のときに、表示が崩れるのを避けるため、あえて止めていることがあります
• サーバー上の管理の仕方：WordPressを置いている場所がGitなどでバージョン管理されているとWordPressが判定した場合、標準では自動更新が止まります（設定で変えている場合もあります）
• プラグインや設定ファイルで止めている：更新を止める働きのあるプラグインや、設定ファイルの記述で止まっていることがあります

IPAも、自動更新があっても管理画面で版を確かめ、上がっていなければ手動で更新するよう案内しています。「自動で直っているはず」と思い込まず、一度は自分の目で版を見てください。

更新したら、一部のページが白紙になったとき

穴を塞ぐために本体を更新したら、一部のページが真っ白になった、ということが起こりえます。2026年9月の更新（7.1.2、7.0.6、6.9.9など）で、WordPressは、ページの見た目を決めるファイル（テンプレート）を読み込める場所を絞りました。テーマの中にあるファイルは読めますが、「..」を使ってテーマの外へ回り込むような指定で、許された場所の外にあるファイルを指すと、読み込まれなくなります。

古い作りのプラグインの中には、自分のフォルダにあるテンプレートを、テーマの外から回り込む書き方で読み込んでいるものがあります。そうしたプラグインでは、更新後にテンプレートを読み込めなくなることがあり、読み込み方によっては、そのプラグインが受け持つページ（商品の一覧や詳細、イベントの予定表など）が白紙になります。

このとき「このサイトで重大なエラーが発生しました」という画面は出ず、ページは開くのにヘッダーも本文も何も表示されない、という見え方になることがあります。ただし、表示のされ方はプラグインの作りによって変わります。「重大なエラー」の画面が出ている場合は、「このサイトで重大なエラーが発生しました」と表示されたときに確かめることに沿って原因を調べてください。

白紙になったときの考え方は次のとおりです。

• どのページが白紙かを確かめる：トップや固定ページは表示され、特定のプラグインが受け持つページだけが白紙なら、そのプラグインのテンプレートの読み込み方も原因の候補に入れる。白紙になる原因はほかにもあるので、決めつけずに調べる
• そのプラグインに新しい版が出ていないかを見る：今回の読み込み方に対応した更新が出ていれば、バックアップを取ってから当て、そのページの表示と機能を確かめる
• 新しい版が無ければ、プラグインを直すか、乗り換える：プラグインの更新が長く止まっている場合は、配布元の案内や対応の予定を確かめてください。対応した版が見込めなければ、テンプレートの読み込み方を直すか、別のプラグインへ乗り換えるかを考えます。乗り換えを考えるときは、いま使っている機能と、そのプラグインに保存されているデータ（商品や記事の情報など）を書き出し、移った先で同じことができ、データを引き継げるかを確かめてください。見通しが立つ前に、いまのプラグインを止めたり消したりしないでください。どちらも専門の業者に相談するのが安全です
• 穴が残る古い版に戻して済ませない：白紙を直すために本体を修正前の版へ戻すと、塞いだはずの穴をもう一度開けることになります

更新の前にできる備えは、バックアップを取っておくことと、確かめるページの一覧を作っておくことです。トップページだけでなく、プラグインが受け持つページ（お問い合わせフォーム、商品の詳細、予約のページなど）も一覧に入れておくと、更新後に白紙に気づくのが早くなります。

blancにご依頼いただく場合

blancでも、今回の件を受けて保守先のWordPressサイトを点検しました。本体の更新や、更新後の不具合には、次の保守プランや個別作業が関係します。本体を更新しても、過去に入られたかどうかは分かりません。下の「WordPress最新化」は更新の作業で、入られたかどうかを調べる作業ではありません。気になる点がある場合は、ご依頼前のご相談とお見積りは無料ですので、まずお知らせください。

• WordPress保守プラン（ライト）

  月額5,500円（税込）

  WordPress本体・プラグインの定期バージョンアップ、サーバーのPHPバージョンアップ対応、有償テーマ（SWELLなど）のバージョンアップ、更新前後のサイト動作確認、サイトバックアップ、テキスト1〜2箇所程度の軽微な修正含みます（最低契約期間3ヶ月）。

• WordPress最新化（本体・プラグイン・PHP更新）

  22,000～66,000円（税込）

  更新前バックアップ・更新後の表示確認込みです。

• WordPress復旧（重大なエラー・画面崩れ・更新失敗）

  33,000～110,000円（税込）

  原因調査・切り分け込みです。更新後にページが白紙になった場合は、この項目が当てはまることがあります。どの作業になるかは、状態を確かめてお見積りします。

• ハッキングによるサイト書き換え復旧作業

  55,000～165,000円（税込）

  改ざんされた内容を元に戻す作業です。見覚えのない管理者が見つかっただけでは、この項目に当てはまるとは限りません。必要な作業は内容に応じてお見積りします。

• セキュリティ診断・警告メールの確認

  5,500円（税込）

  サーバー会社などから警告メールが届いた場合に、届いた診断結果・警告メールを拝見し、急いで対策が要るか、誰の管理範囲（サーバー会社・サイト側）かを書面でお伝えするまでです。対策の作業は該当する各項目でお見積りします。

• ログイン情報の調査・復旧

  11,000～33,000円（税込）

  管理画面・サーバー・ドメインの権限を確認し、入れる状態まで戻します。契約先が分からない場合の調査を含みます。

金額に幅のある個別作業は、被害の状況や、いまのサイトの作りによってお見積りします。料金表もあわせてご覧ください。ご依頼前のご相談とお見積りは無料です。

まとめ