エリアドライブ
「ホームページ運用・保守」のサービス詳細はこちら

【緊急】WordPress wp2shell認証不要で改ざん可能｜無料チェッカー公開

【緊急】WordPress wp2shell認証不要で改ざん可能｜無料チェッカー公開

この記事の要点

WordPressの緊急脆弱性「wp2shell」が公表されました。対象サイトは認証なしで改ざんされる恐れがあります。まず無料チェッカーで確認してください。

wp2shellは認証なしでWordPressを改ざんされる恐れがある緊急事態です

まず、ご自身のサイトが対象バージョンかを無料チェッカーで確認してください。
https://www.areadrive.jp/wp2shell-check/

2026年7月17日、WordPressは重大なセキュリティ問題を修正した更新版を公開しました。今回問題となっている「wp2shell」は、複数の脆弱性を組み合わせることで、管理画面へのログインや管理者パスワードを必要とせず、外部から不正なコードを実行される可能性がある攻撃チェーンです。

悪用された場合は、ページの改ざん、データベースやサーバー内の情報窃取、不正なプログラムの設置などにつながる恐れがあります。会社案内だけのサイト、アクセス数の少ないサイト、長期間更新していないサイトでも、対象バージョンを使用していれば緊急対応が必要です。

「小さなサイトだから狙われない」「ログイン情報は漏れていないから大丈夫」とは判断できません。今回の重大性は、認証情報を持たない第三者でも攻撃できる可能性がある点にあります。

結論：対象バージョンを使うすべてのサイトで即時確認が必要です

運用・保守の相談

WordPressやサイト運用の不安を、原因切り分けから相談できます

表示が重い、更新が止まっている、バックアップやセキュリティが不安など、運用課題は放置すると機会損失につながります。緊急対応だけでなく、再発防止まで整理します。

  • WordPressの不具合や表示速度を見てほしい
  • 保守範囲、更新頻度、バックアップ体制を整理したい
  • 必要な時だけ相談できる運用体制を作りたい
サイト運用を相談する 運用・保守の詳細を見る

最優先で行うことは、WordPress本体のバージョンを確認し、修正版へ更新することです。WordPress公式は今回の問題について、重大度がCriticalとHighのセキュリティ問題を修正したと発表し、影響を受けるサイトへ即時更新を推奨しています。

自動更新が設定されていても、容量不足、権限設定、サーバー環境、独自カスタマイズなどにより更新が完了していない場合があります。「自動で更新されるはず」と考えず、管理しているすべてのサイトで実際のバージョンを確認してください。

WordPress更新対象と修正版を確認する

現在のバージョン、影響、更新先を一覧で整理します。

6.8系はwp2shellの未認証コード実行対象ではありませんが、別の脆弱性を修正する必要があるため更新が必要です。「wp2shellの対象外」と「現在も安全」は同じ意味ではありません。

WordPress脆弱性チェッカーを公開しました

エリアドライブでは、ご自身が管理するWordPressが対象バージョンかを確認するための「wp2shell脆弱性チェッカー」を公開しました。

wp2shell脆弱性チェッカー
https://www.areadrive.jp/wp2shell-check/

チェックしたいサイトのURLを入力すると、サイト上で公開されている情報からWordPressのバージョンを推定し、今回の既知の脆弱性に該当する可能性を判定します。

WordPressの設置場所まで入力してください

WordPressをサブディレクトリに設置している場合は、その階層まで含めて入力してください。たとえばブログだけがWordPressの場合は、「https://example.jp/blog/」のように実際の設置場所を指定します。

チェッカーは安全を保証するものではありません

バージョン情報を非公開にしているサイトや、アクセス制限があるサイトでは判定できない場合があります。また、チェッカーは対象バージョンの可能性を確認するものであり、すでに侵害されているか、マルウェアが設置されているかを調査するものではありません。

対象外や判定不能と表示された場合も、管理画面またはサーバー側で実際のバージョンを確認してください。

WordPress公式情報へのリンク

対応前には、必ずWordPress公式の最新情報も確認してください。

WordPress 7.0.2公式リリース
https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

CVE-2026-60137公式セキュリティ情報
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf

CVE-2026-63030公式セキュリティ情報
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q

公式リリースでは、WordPress 6.9系は二つの脆弱性の影響を受け、6.9.5で修正されたこと、6.8系は一つ目の脆弱性のみの影響を受け、6.8.6で修正されたことが案内されています。

認証なし改ざんが重大とされる理由

一般的な不正ログイン対策では、強いパスワード、ログイン試行回数の制限、二要素認証などが有効です。しかしwp2shellは、管理画面へログインする前の段階で悪用される可能性があるため、それらの対策だけでは根本対応になりません。

WAFやセキュリティプラグインによる遮断は、一時的な緩和策として役立つ場合があります。ただし、WordPress本体の脆弱なコードを修正するものではないため、修正版への更新に置き換えることはできません。

サイトが普通に表示されていても安全とは限りません

侵害を受けても、すぐにトップページが書き換わるとは限りません。見覚えのない管理者ユーザー、不審なファイル、外部サイトへの転送、サーバー負荷の増加など、利用者には見えにくい形で被害が進む場合があります。

WordPress更新でよくある失敗

緊急性が高くても、準備なしで更新すると別のトラブルにつながります。更新前後は次の点に注意してください。

バックアップなしで更新する

作業前にWordPressのファイルとデータベースの両方を保存します。バックアップの保存先だけでなく、復元方法も確認してください。

公式サイトだけ確認して終える

採用サイト、キャンペーンサイト、過去の特設サイト、ブログなど、別のWordPressが残っていることがあります。公開中のサイトを一覧化し、漏れなく確認します。

更新後の動作確認を省略する

問い合わせフォーム、予約、決済、会員ログイン、検索、メール送信など、事業に関わる機能を実際に操作してください。プラグインやテーマとの互換性により、一部の機能だけが止まる場合があります。

不正アクセスが疑われる場合の初動

すでに不審な変化がある場合は、更新だけで終わらせず、侵害の有無を確認する必要があります。

疑わしい状態で不審ファイルをすぐに削除したり、古いバックアップへ戻したりすると、侵入経路や被害範囲を確認するための情報が失われる場合があります。まず現状を保存し、アクセスログ、管理者ユーザー、最近変更されたファイル、プラグインとテーマの状態を確認します。

wp2shell緊急対応チェックリスト

担当者が最初に確認する項目を、作業順にまとめます。

  1. 運営中のWordPressサイトをすべて一覧化する
  2. 脆弱性チェッカーで対象バージョンの可能性を確認する
  3. 管理画面またはサーバー側で実際のバージョンを確認する
  4. ファイルとデータベースのバックアップを取得する
  5. 利用中の系統に対応する修正版へ更新する
  6. プラグインとテーマも更新する
  7. 問い合わせフォームなどの主要機能を動作確認する
  8. 不審な管理者ユーザーやファイルがないか確認する
  9. アクセスログに不審な通信がないか確認する
  10. 今後の更新担当者と監視体制を決める

wp2shellに関するよくある質問

チェッカーで対象外なら更新しなくてよいですか？

いいえ。公開情報からバージョンを取得できない場合や、古い情報が残っている場合があります。管理画面やサーバーで実際のバージョンを確認し、必要な更新を行ってください。

自動更新されていれば安全ですか？

修正版への更新が正常に完了していることを確認してください。また、更新済みであることは、更新前に攻撃を受けていないことまで保証するものではありません。不審な兆候がある場合はログやファイルの確認が必要です。

保守契約がないサイトでも相談できますか？

制作会社が分からない、担当者が退職した、サーバー情報が整理されていないといった状態でも、分かる範囲から確認できます。対象サイトの洗い出しや状況の切り分けも含めてご相談ください。

まとめ：チェッカーで確認し、対象サイトは直ちに更新を

wp2shellは、認証なしで外部から不正なコードを実行され、WordPressの改ざんや情報窃取につながる恐れがある重大な問題です。対象バージョンを利用しているすべてのサイトで、緊急確認と更新が必要です。

まずはエリアドライブのwp2shell脆弱性チェッカーで対象バージョンの可能性を確認し、その後、管理画面やサーバー側で実際のバージョンを確認してください。

もしもご自身のサイトのことでお困りでしたら、エリアドライブまでご連絡ください。「WordPressがどこにあるか分からない」「更新してよいか不安」「改ざんされていないか確認したい」といった段階でも大丈夫です。現状整理と切り分けから一緒に進めます。

運用・保守の相談

WordPressやサイト運用の不安を、原因切り分けから相談できます

表示が重い、更新が止まっている、バックアップやセキュリティが不安など、運用課題は放置すると機会損失につながります。緊急対応だけでなく、再発防止まで整理します。

  • WordPressの不具合や表示速度を見てほしい
  • 保守範囲、更新頻度、バックアップ体制を整理したい
  • 必要な時だけ相談できる運用体制を作りたい
サイト運用を相談する 運用・保守の詳細を見る
「ホームページ運用・保守」のサービス詳細はこちら

AIがお問い合わせ文を自動作成

面倒な文章入力は不要。ポチポチ選ぶだけで、
あなたのご相談内容をAIが整理します。
もちろん、直接お問い合わせ文を入力することもできます。

AIでかんたんお問い合わせ

同じカテゴリの記事

カテゴリ一覧

すべての記事一覧へ

© AREADRIVE. 横浜の中小企業向けWeb制作・集客支援 エリアドライブ