【緊急】WordPress本体の重大な脆弱性「wp2shell」2026.07.17

2026/07/23 最終更新日時 : 2026/07/23 tiura

2026年7月17日、WordPress本体(コア)に、認証不要でサイトを乗っ取られる可能性がある重大な脆弱性が見つかりました。通称「wp2shell」と呼ばれるこの問題、プラグインの有無に関係なく影響を受けるため、WordPressでサイトを運営している方は必ず内容を確認してください。

この記事では、公式情報とサーバー会社からの案内をもとに、何が起きたのか、どう対応すればいいのかを整理し、最後にNANA STUDOとしての見解もお伝えします。

1. 何が起きたのか(事実関係)

WordPress公式の発表

2026年7月17日、WordPress.orgは緊急のセキュリティリリース「WordPress 7.0.2」(および旧バージョン向けの6.9.5、6.8.6)を公開しました。

WordPress 7.0.2 Release
Security updates included in this release

https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

対象となった脆弱性

  • CVE-2026-63030(通称の由来):REST APIのバッチ処理エンドポイント(/wp-json/batch/v1)におけるルート・ハンドラーの対応関係のズレ
  • CVE-2026-60137:WP_Queryのauthor__not_inパラメータにおけるSQLインジェクション

この2つを組み合わせることで、ログインしていない第三者でも、プラグインを一切導入していない標準的なWordPressサイトに対して、サーバー上で任意のコードを実行できる状態になっていました。

影響を受けるバージョン

バージョン系統影響内容修正版
WordPress 6.9.0〜6.9.4フルチェーン(RCEまで到達)6.9.5以降
WordPress 7.0.0〜7.0.1フルチェーン(RCEまで到達)7.0.2以降
WordPress 6.8.0〜6.8.5SQLインジェクション単体6.8.6以降

どれくらい深刻・稀な問題なのか

WordPress関連の脆弱性報道自体は、実は珍しいものではありません。ただ、そのほとんどは「サードパーティのプラグイン・テーマ」の問題か、「悪用にログインなど何らかの前提条件が必要」なものです。

今回のwp2shellが異例なのは、この2つの"普段の安心材料"を両方とも外していた点です。

  • WordPress**本体(コア)**自体の脆弱性で、プラグイン不要・素のインストール状態で成立する
  • 完全に未認証(ログイン不要)で、任意のコード実行(RCE)にまで到達する

セキュリティ企業のCEOも「WordPressはセキュリティ面で悪く言われがちだが、コアで重大な未認証のSQLインジェクションやRCEが起きるのは実際にはかなり稀」とコメントしており、専門メディアの分析記事では「ほぼ10年ぶりとなる、WordPressコアにおける重大な未認証RCE」と評されています。

深刻度の評価としても、WordPress公式は今回のRCEチェーンを4段階評価(Critical/High/Medium/Low)の最上位である「Critical(緊急)」に分類しており、開発チーム自身がこの問題を「最も深刻かつ最優先」のクラスと位置付けたことも公表されています。

つまり今回は、「よくあるプラグインの脆弱性報道の1つ」ではなく、数年〜10年に一度あるかないかの、WordPress運営者全体が動く必要のあるクラスの事案だった、と理解しておくのが実態に近いです。

レンタルサーバー会社からの案内(エックスサーバーの例)

エックスサーバーをはじめとする主要なレンタルサーバー各社も、この脆弱性を受けて緊急対応を実施しました。エックスサーバーでは2026年7月19日午前6時30分頃、攻撃経路となるREST APIのバッチエンドポイント(/wp-json/batch/v1)への通信を対象サーバー側で遮断する暫定措置を取っています。ただしこれはあくまで応急処置であり、利用者自身によるWordPress本体のアップデートが恒久的な対策として求められています。

なお、この暫定遮断によって、batch v1のREST APIを利用した一部のプラグインや外部連携機能が正常に動作しなくなる可能性がある点も案内されています。

【重要】WordPressの脆弱性（wp2shell／CVE-2026-63030）に関する注意喚起とサーバー側対策のお知らせ（7/22 追記）

https://www.xserver.ne.jp/news_detail.php?view_id=18963

2. どういう問題があるのか

技術的な仕組みをかいつまんで説明すると、次のような流れで攻撃が成立します。

  1. REST APIのバッチ処理には、本来「配列」を想定しているところに、攻撃者が「文字列」を送り込むことで検証をすり抜けられる不具合があった
  2. すり抜けた入力が、WP_Queryのauthor__not_inパラメータに渡り、SQLインジェクションが成立する
  3. データベースから情報を抜き取ったり、不正な管理者アカウントを新規作成したりできる
  4. 作成した管理者アカウントでログインし、プラグインアップロード機能などを使ってサーバー上で任意のコードを実行する(Webシェルの設置など)

それぞれの不具合は単体で見れば大きな問題ではありませんでした。SQLインジェクションの入口は「本来プラグインやテーマが変な値を渡さない限り使われない」条件付きの穴で、バッチAPI側の不具合も型の取り違えというありふれたバグです。しかし、この2つが偶然つながったことで、「ログイン不要・プラグイン不要」という、WordPressコアの脆弱性としては近年でも稀なレベルの危険度に発展しました。実際、この種の「WordPressコア自体の、認証不要でRCEに到達する」脆弱性は、業界内でも「ほぼ10年ぶり」という評価がなされています。

すでに海外では実際の悪用事例が確認されており、攻撃者は侵入したサーバーに永続的なWebシェルを設置したり、悪意あるプラグインをインストールしたりしていることが複数のセキュリティ企業から報告されています。米国土安全保障省傘下のCISAも、両CVEを既知悪用脆弱性(KEV)カタログに追加し、緊急のパッチ適用を求めました。

3. どういった対策をするか

今すぐやること

  1. WordPressのバージョン確認 管理画面の「ダッシュボード」→「更新」から、現在のバージョンを確認してください。7.0.2、6.9.5、6.8.6のいずれかであれば対策済みです。それより古いバージョンであれば、直ちにアップデートしてください。
  2. すでに侵入されていないかのセルフチェック バージョンを上げるだけでは、すでに侵入されていた場合の被害(Webシェルや不正な管理者アカウント)は消えません。次の3点を確認しましょう。
    • ユーザーアカウント一覧(「ユーザー」→「すべてのユーザー」):見覚えのない管理者アカウントがないか
    • プラグイン一覧(「プラグイン」→「インストール済みプラグイン」):インストールした覚えのないプラグインがないか
    • wp-content/uploadsフォルダ:本来画像などしか入らないはずのこのフォルダに、.phpファイルが紛れ込んでいないか

中長期的にやっておきたいこと

  • 自動更新(バックグラウンド更新)を有効にしておく:今回のようにWordPress側が緊急で強制アップデートをかけるケースもありますが、平常時から自動更新をオンにしておくことで、こうした脆弱性への対応スピードが上がります
  • 信頼できるレンタルサーバー・保守体制を選ぶ:今回、多くのホスティング事業者は公開前から情報共有を受け、ネットワーク層での防御を先行して行っていました。契約しているサーバー会社が、こうした緊急時にどう動くかは意外と見落とされがちなポイントです
  • セキュリティプラグイン等での定期スキャン:侵害の早期発見のために、マルウェアスキャン機能を持つセキュリティプラグインの導入も有効です

まとめ

今回のwp2shellが浮き彫りにしたのは、「プラグインさえ最小限にしていれば安全」という考え方だけでは足りない、という点です。今回の問題はプラグインではなくWordPress本体(コア)側で発生しており、素のインストール状態でも影響を受けました。

また、個々のバグ単体では大きな問題に見えなかったものが、離れた場所にある別のバグと組み合わさることで致命的な脆弱性に発展した、という構造も印象的でした。単一のコードレビューだけでは見つけにくいタイプの問題であり、大規模なオープンソースソフトウェアが避けて通れない課題でもあります。だからこそ、外部の研究者による発見と、開発チームの迅速な修正対応というサイクルが機能したこと自体は、WordPressというプラットフォームの健全性を示すものでもあると捉えています。

利用者側としてできることは限られていますが、「バージョンを最新に保つ」「自動更新を有効にする」「定期的に管理画面をチェックする」といった基本的な運用を怠らないことが、結局のところ最も有効な防御になります。当スタジオでは、お預かりしているサイトについても今回の脆弱性を受けて確認・対応を行っています。ご自身でサイトを運用されている方も、この機会にぜひ一度、上記のチェックを行ってみてください。

参考リンク

  • WordPress 7.0.2 Release(公式): https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
カテゴリー
IT&WEB最新情報、WordPress、お知らせ
前の記事
「_A」の直し方を一発で再現＆解消！Google IME 日本語入力変換モード完全マスターNew!!
2026/07/20