WordPress脆弱性wp2shellとは？初心者向け緊急対策

WordPressの脆弱性として、2026年7月17日に重要なセキュリティ更新が公表されました。

今回の問題は、プラグインやテーマだけの話ではなく、WordPress本体に関係する脆弱性です。対象バージョンのまま放置すると、不正アクセスやデータベース悪用、サイトの乗っ取りにつながる危険があります。

よこやま良平

20年以上ITエンジニアとしてWordPressの制作・保守・復旧に携わっている、よこやま良平です。この記事では、CVE-2026-63030、CVE-2026-60137、通称wp2shellと呼ばれる一連の問題を、初心者にもわかる言葉で解説します。

セキュリティ情報は専門用語が多く、CVE、RCE、SQLインジェクション、REST APIなどの言葉を見るだけで難しく感じる方も多いはずです。

ただ、初心者の方が最初に理解すべきことはシンプルです。対象バージョンのWordPressを使っているなら、できるだけ早く修正版へ更新し、更新前後のバックアップと動作確認まで行うことです。

【無料プレゼント】
WordPress緊急チェック50

「自分のサイトは今、安全なのか？」
自信を持って答えられますか？

こんなお悩みはありませんか？

• ある朝、サイトを開いたら真っ白画面になっていた
• 管理画面にログインできなくなって手が止まった
• 身に覚えのない記事やページが勝手に増えていた
• プラグインを更新したらサイト全体が崩れてしまった
• 以前バックアップを取ったか自分でも覚えていない

累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。

セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。

今すぐ無料ダウンロードする →

※登録後すぐにメールで特典をお届けします

WordPress脆弱性wp2shellとは何か

WordPress脆弱性wp2shellとは、WordPress本体の特定バージョンで公表された、緊急性の高いセキュリティ問題です。

公式には、CVE-2026-63030とCVE-2026-60137という2つの脆弱性が関連します。CVE-2026-63030はREST APIの処理に関係する問題で、CVE-2026-60137はSQLインジェクションに関係する問題です。

初心者でも分かるWordPressの脆弱性：仕組み・発見方法・防御策ガイド

プラグインではなくWordPress本体の問題です

WordPressのセキュリティ事故というと、「古いプラグインが原因」と考える方が多いです。実際、現場でもプラグインやテーマの脆弱性が入口になるケースはよくあります。

しかし、今回の重要な点はWordPress本体に関係することです。つまり「プラグインをあまり入れていないから大丈夫」とは言い切れません。

専門用語を初心者向けに置き換えると

SQLインジェクションは、データベースへの命令を不正に混ぜ込まれる攻撃です。データベースには記事、設定、ユーザー情報などが入っているため、悪用されると非常に危険です。

Remote Code Executionは、外部からサーバー上で不正なコードを動かされる可能性がある状態を指します。初心者向けに言えば、「サイトの中で勝手に危険な命令を実行される恐れがある」という意味です。

もちろん、すべてのサイトがすでに攻撃されたという意味ではありません。ただし、対象バージョンのまま公開し続けるのはリスクが高い状態です。

WordPress脆弱性の対象バージョンと修正版

WordPress脆弱性の対応で最初に見るべきなのは、自分のサイトのWordPress本体バージョンです。

WordPress公式リリースでは、2026年7月17日にWordPress 7.0.2のセキュリティリリースが公表されています。あわせて、6.9系と6.8系にも修正版が出ています。

修正版の目安
WordPress 7.0系 → 7.0.2 以降
WordPress 6.9系 → 6.9.5 以降
WordPress 6.8系 → 6.8.6 以降

WordPress 6.8系も確認が必要です

今回の話で混乱しやすいのは、WordPress 6.8系の扱いです。CVE-2026-63030の影響対象は6.9系と7.0系ですが、関連するCVE-2026-60137は6.8.0から6.8.5も対象に含まれます。

そのため、「7.0を使っていないから関係ない」と決めつけるのは危険です。6.8系を使っている場合も、6.8.6以降へ更新されているか確認してください。

公式情報では即時更新が推奨されています

WordPress公式は、セキュリティリリースとして即時更新を推奨しています。影響を受けるサイトには自動更新が行われる場合もありますが、管理画面で実際のバージョンを確認することが大切です。

参考：WordPress 7.0.2 Release、CVE-2026-63030のGitHub Advisory、CVE-2026-60137のGitHub Advisory

WordPress脆弱性で今すぐ確認すること

WordPress脆弱性への対応は、慌てて更新ボタンを押す前に、バージョン確認、バックアップ、更新、動作確認の順番で進めるのが安全です。

特に仕事用サイト、問い合わせを受けているサイト、決済や会員機能があるサイトでは、更新作業そのものがサイト運営に影響することがあります。

WordPressのアップデート・保守をしないと危険｜放置で起こる深刻なリスクとは

手順1：WordPress本体のバージョンを見る

管理画面にログインできる場合は、ダッシュボードの更新画面や管理画面下部でWordPressのバージョンを確認します。

1. WordPress管理画面にログインする
2. ダッシュボードの「更新」を開く
3. WordPress本体の更新有無を確認する
4. プラグインとテーマの更新も確認する
5. 作業前にバックアップの有無を確認する

手順2：更新前にバックアップを取る

緊急更新であっても、バックアップなしで進めるのは危険です。更新によりテーマやプラグインとの相性問題が出ると、画面が真っ白になったり、管理画面に入れなくなったりすることがあります。

最低限、ファイルとデータベースの両方を保存してください。画像だけ、テーマだけ、記事だけではWordPress全体を元に戻せないことがあります。

WordPressバックアップの完全解説｜UpdraftPlus / BackWPup / all-in-one-wp-migrationを図解

WordPress脆弱性で更新しないリスク

WordPress脆弱性で一番避けたいのは、「あとでやろう」と放置してしまうことです。

脆弱性情報が公表されると、攻撃者もその情報を見ます。修正版が出た直後は、古いバージョンのまま残っているサイトが狙われやすくなる時期です。

WordPressハッキング発覚直後の初期対応チェックリスト

攻撃されると見た目だけでは済みません

WordPressが攻撃されると、トップページが書き換えられるだけではありません。見知らぬ管理者ユーザーを作られる、データベース情報を抜き取られる、迷惑ページを大量生成される、不正なファイルを置かれることがあります。

実際の復旧現場では、見た目は普通でも、裏側に不正ファイルやバックドアが残っていることがあります。表面だけ直しても再感染するのは、この見えない入口が残るためです。

更新して終わりではなく確認まで必要です

今回のような脆弱性では、まず修正版へ更新することが重要です。ただし、すでに不正アクセスを受けている場合、更新だけで過去の改ざんや不正ファイルが消えるとは限りません。

更新後は、管理者ユーザー、見覚えのない投稿、プラグインの追加、サーバー上の不審ファイル、検索結果の異常も確認します。心当たりがある場合は、更新だけで安心せず調査が必要です。

WordPress脆弱性で更新後に壊れた時の考え方

WordPress脆弱性対策で難しいのは、「更新しないと危険」なのに「更新すると壊れるかもしれない」という不安があることです。

この不安は正しい感覚です。WordPress本体、テーマ、プラグイン、PHPバージョン、サーバー設定はつながっているため、更新後にエラーが出ることはあります。

WordPressアップデート失敗で真っ白画面になった時の復旧方法【初心者向け完全ガイド】

更新後によくあるトラブル

更新後のトラブルは、焦って何度もボタンを押したり、プラグインを次々に停止したりすると悪化することがあります。まずは症状を保存し、変更した順番を記録してください。

自力対応が不安なら保守管理を検討する

WordPressを自分で管理している方は、今回のような緊急情報が出るたびに、自分で判断する必要があります。今すぐ更新するのか、先にバックアップを取るのか、更新後に壊れたらどこを見るのかを一人で決めなければなりません。

クイックレスキュー365のような保守管理は、「更新しない不安」と「更新して壊れる不安」の両方に備えるためのものです。緊急時の更新確認、バックアップ、トラブル時の復旧相談まで任せられる体制があると、慌てずに対応できます。

WordPress保守・不正アクセス対策・マルウェア駆除・WordPressクイックレスキュー365

WordPress脆弱性でよくある質問

WordPress脆弱性wp2shellの対策まとめ

WordPress脆弱性wp2shellの対策で大切なのは、対象バージョンを確認し、修正版へ更新し、更新後の動作確認まで行うことです。

CVE-2026-63030とCVE-2026-60137は、初心者には難しい名前ですが、行動としては明確です。古いWordPressのまま放置せず、バックアップを取ったうえで速やかに更新してください。

更新作業そのものが不安な方は、無理に一人で抱え込まないでください。WordPressは便利ですが、使い続ける以上、定期的なメンテナンスと緊急時の対応が必要です。

WordPressの緊急アップデートが不安な時は

WordPress保守・不正アクセス対策・マルウェア駆除・WordPressクイックレスキュー365

ワードプレスのWordPressエラートラブル解決をしたいなら
クイックレスキューが解決します。

これらでお悩みなら最短30分ですぐに解決します！

いまなら期間限定で