wp2shell とは。WordPress 本体の脆弱性と自社サイトの確認手順

※2026年10月23日時点の情報です。状況が変わったら更新します。

WordPress の脆弱性（ソフトウェアの欠陥）は、プラグインやテーマで見つかるものから、本体で見つかるものまで幅広く存在します。2026年7月に公表された「wp2shell」は WordPress 本体の脆弱性で、プラグインを入れていない標準のサイトでも、ログインなしで乗っ取られる恐れがあるものです。

wp2shell の対象かどうかは、管理画面に表示される WordPress のバージョンで判断できます。バージョンの見方と更新後の確認を押さえると、自社サイトが安全な状態かを自分で判断可能です。

本記事では、wp2shell の内容・対象のバージョン・自社サイトの確認手順・更新と侵入の痕跡の確認をまとめています。さらに、レンタルサーバー各社の対応と、2026年10月の PHP の脆弱性（php2shell）との違いも紹介します。

wp2shell とは。WordPress 本体の脆弱性で何が起きたか

wp2shell とは、WordPress 本体にある2つの脆弱性を組み合わせ、ログインなしで外部からプログラムを実行できてしまう攻撃の通称です。WordPress.org は2026年7月17日に修正版 7.0.2・6.9.5・6.8.6 を公開しました（WordPress.org）。

WordPress は中小企業のHPで広く使われているため、本体の欠陥は影響が大きくなります。ここでは、概要を早見表で示したうえで、脆弱性の中身・悪用の状況・php2shell との違いの3つを解説します。

項目	内容
脆弱性の番号	CVE-2026-60137（SQL インジェクション）、CVE-2026-63030（REST API のバッチ処理の取り違え）
何が起きるか	2件を組み合わせると、ログインなしで外部からプログラムを実行される恐れ
対象	6.9.0〜6.9.4、7.0.0〜7.0.1（6.8.0〜6.8.5 は CVE-2026-60137 のみ。6.8 より前は対象外）
修正版	6.8.6／6.9.5／7.0.2
公開日	2026年7月17日
WordPress.org の対応	対象のバージョンに、自動更新の仕組みで強制の更新をかけた
悪用の状況	米国 CISA が2026年7月21日（現地時間）に「悪用が確認された脆弱性」の一覧（KEV）に掲載

※2026年10月23日時点・WordPress.org、IPA より

早見表のとおり、wp2shell は WordPress を修正版へ更新すれば直ります。以下では、脆弱性の中身から順に解説します。

wp2shell の2つの脆弱性と対象のバージョン

wp2shell は、SQL インジェクションと REST API の取り違えという2つの欠陥の組み合わせです。SQL インジェクション（データベースへの命令を不正に書き換える攻撃）だけでも危険ですが、2つがそろうとプログラムの実行まで届きます。

たとえば、2つの欠陥が両方あるのは 6.9 系と 7.0 系で、6.8 系には SQL インジェクションの1件だけがあります。バージョンごとの影響は、以下のとおりです。

系統	影響する脆弱性	修正版
7.0 系	2件（ログインなしでプログラム実行の恐れ）	7.0.2
6.9 系	2件（ログインなしでプログラム実行の恐れ）	6.9.5
6.8 系	CVE-2026-60137 の1件	6.8.6
6.8 より前	対象外	―

※2026年10月23日時点・WordPress.org、IPA より

ただし、6.8 より前が対象外なのは wp2shell に限った話です。古いバージョンには別の脆弱性が残っているため、WordPress を更新しないで放っておくとどうなる？もあわせて確認してください。

wp2shell の悪用の状況と想定される被害

wp2shell は、すでに攻撃に使われている脆弱性です。IPA は、米国 CISA が2026年7月21日（現地時間）に悪用が確認された脆弱性の一覧へ掲載したこと、実証コードが公開され悪用が広がる恐れがあることを伝えています（IPA）。

GMO Flatt Security は、攻撃されたときに想定される被害として、以下の3つを挙げています（GMO Flatt Security Blog）。

• データベースやサーバー内の情報の盗み出し
• ページの書き換え（改ざん）
• 悪いプログラム（不正なスクリプト）の設置

ただし、修正版の公開から3ヶ月がたった今は、更新したかどうかと、更新前に入り込まれていないかを分けて考える必要があります。

wp2shell と php2shell（PHP の脆弱性）の違い

wp2shell と php2shell は、名前が似ていますが別の問題です。wp2shell は WordPress 本体の欠陥で、php2shell は WordPress の下で動く PHP 本体の欠陥です。

2つの違いを、場所・時期・直し方・担当で比較します。

比べる点	wp2shell	php2shell
どこの欠陥か	WordPress 本体	PHP 本体（WordPress の下で動く言語）
公表	2026年7月17日	2026年10月21日
直し方	WordPress を修正版に更新	サーバー側の PHP に修正を当てる
誰がやるか	サイトの管理者（自動更新で済むことも）	レンタルサーバーならサーバー会社

※2026年10月時点・WordPress.org、PHP 公式サイトより

WordPress を更新しても php2shell は直らず、PHP を直しても wp2shell は直りません。php2shell についてはPHP の重大な脆弱性、中小企業のHPで今やることで解説しています。

自社サイトが wp2shell の対象か確かめる方法【3STEP】

自社サイトが wp2shell の対象かは、3つの手順で確かめられます。WordPress かどうかと、いまのバージョンが分かれば判断できるためです。

確認には WordPress の管理画面のログイン情報が必要です。ここでは、WordPress かの確認・バージョンの確認・判定の3STEPを順に解説します。

STEP	確かめること	必要なもの
1	WordPress で作られているか	HPのアドレス
2	WordPress のバージョン	管理画面のログイン情報
3	判定表に当てはめる	STEP2 で確かめたバージョン

【STEP1】WordPress で作られているかを確かめる

自社サイトが WordPress かどうかは、ログイン画面が出るかで確かめられます。WordPress のサイトには、決まった場所に管理画面の入口があるからです。

たとえば、HPのアドレスの後ろに /wp-admin/ を付けて開き、WordPress のログイン画面が出れば WordPress です。入口の場所を変えているサイトもあるため、出ない場合は制作会社に聞きます。

ただし、WordPress でなければ wp2shell の対象ではありません。PHP で動く別のシステムなら、php2shell の確認だけを進めましょう。

【STEP2】WordPress のバージョンを確かめる

WordPress のバージョンは、管理画面の「ダッシュボード」→「更新」で確かめられます（2026年10月時点）。画面の上部に、いまのバージョンと新しい版の有無が表示されるためです。

たとえば「WordPress 7.0.2 を使用中です」のように表示されます。画面の表示や別の確かめ方は、WordPress のバージョンを確認する方法で解説しています。

ただし、ログイン情報が誰も分からない場合は、バージョンを確かめる前に管理画面を取り戻す必要があります。手順はWordPress のログイン情報が誰も分からないときの対処を参照してください。

【STEP3】バージョンを判定表に当てはめる

確かめたバージョンを判定表に当てはめると、更新が必要かどうかが決まります。系統ごとに修正版の番号が違うためです。

いまのバージョン	判断
7.0.2 以上（7.1 系を含む）	wp2shell の修正は入っている
7.0.0〜7.0.1	対象。すぐに更新
6.9.5	修正は入っている
6.9.0〜6.9.4	対象。すぐに更新
6.8.6	修正は入っている
6.8.0〜6.8.5	SQL インジェクションのみ対象。更新する
6.8 より前	wp2shell は対象外。ただし古いこと自体が危険

※2026年10月23日時点・WordPress.org、IPA より

修正が入っていた場合も、更新前に入り込まれていないかは次の章の【STEP4】で確かめましょう。

wp2shell の対象だったときに今やること【5STEP】

wp2shell の対象だったときは、WordPress を修正版へ更新し、侵入の痕跡がないかを確かめます。更新は欠陥をふさぐだけで、更新前に置かれた不正なプログラムは消さないためです。

作業は、担当の確認から自動更新の見直しまで5つの段階に分かれます。ここでは、5STEPを順に解説します。

STEP	やること	目安の時間
1	保守の契約範囲と担当を確かめる	10〜30分
2	バックアップを取る	30分〜
3	WordPress を修正版へ更新する	10分
4	侵入の痕跡がないかを確かめる	30分〜
5	自動更新の設定を見直す	10分

【STEP1】保守の契約範囲と担当を確かめる

WordPress の更新を誰がするかを、最初に確かめることが重要です。保守契約を結んでいても、本体の更新が契約の範囲に入っていないことがあるからです。

たとえば、保守契約が「サーバーの管理だけ」なら、WordPress の更新は自社の作業です。制作会社や保守会社に任せている場合は、以下を問い合わせます。

• 管理しているサイトの WordPress がすべて修正版になっているか
• 更新前に不審な変更やアクセスがなかったかを確かめたか
• 次に本体の脆弱性が出たとき、誰がいつまでに更新するか

回答が得られない場合の進め方は、HPの保守契約書で見るところ（範囲・追加料金・表示崩れの扱い）が参考になります。

【STEP2】バックアップを取る

WordPress を更新する前に、バックアップを取りましょう。テーマやプラグインが新しい版に合わず、表示が崩れたときに戻せるようにするためです。

たとえば、レンタルサーバーの自動バックアップに加えて、更新の直前にファイルとデータベースの両方を保存します。手順はWordPress のバックアップの取り方と、戻せるかの確認で解説しています。

ただし、侵入の疑いがある場合は、バックアップにも不正なファイルが含まれている可能性があります。戻す前に、いつの時点のバックアップかを確かめてください。

【STEP3】WordPress を修正版へ更新する

WordPress の更新は、管理画面の「ダッシュボード」→「更新」から「今すぐ更新」を押して進めます（2026年10月時点）。WordPress.org も、手動で更新する場合はこの画面を使うよう案内しています。

たとえば、7.0 系なら 7.0.2 以上、6.9 系なら 6.9.5 以上、6.8 系なら 6.8.6 以上が目標です。本体のあとに、プラグインとテーマも最新にします。長く更新が止まったプラグインは、更新が止まった WordPress プラグインの見分け方と、代わりの探し方を参考に入れ替えを検討します。

ただし、すぐに更新できない事情がある場合の一時的な手当てとして、GMO Flatt Security は WAF（Webサイトへの攻撃を手前で止める仕組み）で /wp-json/batch/v1 と /?rest_route=/batch/v1 への通信を止める方法を挙げています。WAF での遮断は欠陥を直さないため、更新の代わりにはなりません。

【STEP4】侵入の痕跡がないかを確かめる

更新が済んだら、更新前に入り込まれていないかを確かめます。wp2shell は悪用が確認された脆弱性で、自動更新が効く前に入り込まれた可能性があるためです。

確かめる項目と場所は、以下のとおりです。

確かめること	どこで見るか
知らない管理者アカウントが増えていないか	管理画面の「ユーザー」
入れた覚えのないプラグインがないか	管理画面の「プラグイン」
見覚えのないページや、別のサイトへの転送がないか	HPを実際に開く。Google で site:自社のドメイン と検索する
アクセスログに不審な記録がないか	サーバー会社の管理画面のアクセスログ

アクセスログでは、GMO Flatt Security が手がかりとして /wp-json/batch/v1 や /?rest_route=/batch/v1 への POST を挙げています。ただし、ログだけでは攻撃が成功したかを判断できないとしています。知らない管理者が見つかったときは、WordPress に知らない管理者アカウントが増えているときにやることを見てください。

【STEP5】自動更新の設定を見直す

最後に、WordPress 本体の自動更新が有効になっているかを確かめます。本体のセキュリティ修正は小さな更新（マイナーアップデート）で配られ、自動更新が有効なら早く当たるためです。

たとえば、お名前.com レンタルサーバーは、マイナーアップデートの自動更新が有効なら順次修正版へ更新済みで、無効にしている場合は手動での更新が必要と案内しています（お名前.com）。

ただし、自動更新は失敗することもあります。止まったときに気づく方法はWordPress の自動更新はオンにすべき？ 止まったときに気づく方法で解説しています。

wp2shell へのレンタルサーバー各社の対応

国内のレンタルサーバー各社は、2026年7〜8月に wp2shell への注意喚起や一時的な遮断をしました。対応は会社によって違い、利用者に手動での更新を求めた会社もあります。

自社の契約先がどう動いたかを知ると、自分で確かめるべき範囲が分かります。ここでは、公式のお知らせと報道で確かめられた4社の対応を表で比較します。

サーバー会社	対応の内容
エックスサーバー	7月19日6時30分ごろ、対象サーバーで /wp-json/batch/v1 への通信を遮断。7月31日ごろ〜8月25日に、対象バージョンの WordPress を同社側で順次更新。8月6日に、対象バージョン以外のドメインの遮断を解除。8月27日に不正アクセスの状況を確かめる手順の動画を公開
お名前.com レンタルサーバー	マイナーアップデートの自動更新が有効なら順次更新済みで作業不要。無効なら手動での更新を依頼
ロリポップ！	「マイナーアップデートの自動更新」の設定の確認と、無効なら手動での更新を依頼（INTERNET Watch の報道）
さくらのレンタルサーバ	公式 X でバージョンの確認と更新を呼びかけ。クイックインストールで入る WordPress を 7.0.2 に引き上げ（INTERNET Watch の報道）

※2026年10月23日時点・エックスサーバー、お名前.com のお知らせ、INTERNET Watch（2026年7月22日）より

エックスサーバーは、自動更新が有効でも管理画面で更新が終わっているかを確かめるよう求めています（エックスサーバー）。ほかの会社を使っている場合も、管理画面のバージョンを自分の目で確かめましょう。

wp2shell でよくある誤解

wp2shell では、自動更新やサーバー会社の遮断を根拠に「対応済み」と判断してしまう誤解がよくあります。誤った判断は、修正されていないサイトや、侵入されたままのサイトを放置する原因になります。

誤解の多くは、更新と侵入の確認を同じものと考えることから生まれます。ここでは、よくある誤解4つと実際を表で比較します。

よくある誤解	実際
自動更新が有効だから大丈夫	IPA は、環境や設定によっては自動更新が効いていない可能性があるとしている
サーバー会社が遮断したから直った	遮断や WAF は一時しのぎ。欠陥そのものは更新でしか直らない
更新したから侵入の心配もない	更新は更新前に置かれた不正なプログラムを消さない
プラグインを入れていないから対象外	wp2shell は標準の WordPress 本体の欠陥。プラグインの有無は関係ない

※2026年10月23日時点・IPA、GMO Flatt Security Blog より

セキュリティプラグインで防げる範囲はWordPress のセキュリティプラグインだけで足りる？ 入れても防げないもので説明しています。表の誤解に当てはまっていた場合は、確認の3STEPに戻りましょう。

wp2shell で専門家に相談すべきとき

wp2shell への対応は、管理画面に入れないときや侵入が疑われるときに、自社だけでは進められなくなります。侵入の有無はログだけでは判断できず、調べるには専門の知識が要るためです。

侵入が疑われる状態で自分でファイルやログを消すと、原因を調べる手がかりがなくなります。ここでは、専門家に相談したほうが安全な条件を4つ紹介します。

• 管理画面にログインできない、ログイン情報を誰も知らない
• 更新すると表示が崩れそうで手が出せない
• 知らない管理者・プラグイン・ファイルが見つかった
• HPに見覚えのないページや、別のサイトへの転送がある

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。すでに改ざんや乗っ取りの被害が出ているなら、ひとりで抱え込まずにWordPress が乗っ取られたときの復旧の流れを確認してください。

まとめ

• wp2shell は2026年7月17日に公表された WordPress 本体の脆弱性で、6.9.0〜6.9.4・7.0.0〜7.0.1 はログインなしで乗っ取られる恐れがある
• 修正版は 6.8.6／6.9.5／7.0.2。強制の自動更新がかかったが、管理画面の「ダッシュボード」→「更新」で確かめる
• 更新済みでも、知らない管理者・プラグイン・ページがないかを確かめる
• 10月の PHP の脆弱性（php2shell）は別の問題。WordPress とサーバーの PHP の両方を確認する

まずは管理画面で WordPress のバージョンを確かめ、自力で難しい場合は専門家の無料診断を活用しましょう。