こんにちは、中小企業診断士のSacChiです。
高知の暮らし・観光・移住の”リアル”を、
企業支援の現場で得た視点とあわせて発信しています。
2026年7月、WordPressを利用している方にとって気になる情報がありました。
IPA（情報処理推進機構）から、WordPress本体に存在する「wp2shell」と呼ばれる脆弱性について注意喚起が出されています。
今回の脆弱性は、追加のプラグインを入れていないWordPressでも影響を受ける可能性があり、ログインしていない第三者によって攻撃される恐れがあるというもの。
IPAでは2026年7月22日から注意喚起されていましたが、私は8月に勤務先で回覧されるまで、この脆弱性を知りませんでした。
私自身もWordPressでこのブログを運営しているため、
「自分のサイトは大丈夫？」
と不安になり、実際に確認してみました。
メインで運営しているサイトは問題ありませんでしたが、確認している途中で思い出したのが、過去にテスト用・勉強用として作った別のWordPressサイト。
普段使っているサイトだけを確認すればいいわけではないことに気づき、少しヒヤッとしました。
一方、個人でWordPressを利用している場合、こうした情報をどこで知ればよいのか気になったのも、この記事を書くきっかけの一つです。
この記事では、IPAなどの公表情報をもとに、
- どのWordPressが今回の脆弱性の影響を受けるのか
- WordPress 7.1なら問題ないのか
- 私が実際に確認した3つのポイント
- 複数のWordPressサイトを持っている場合の注意点
について、WordPressユーザーの立場から紹介します。
※私はサイバーセキュリティの専門家ではありません。本記事では、IPA・WordPress公式などの公表情報をもとに、一般のWordPressユーザーとして実際に行った確認内容を紹介しています。
先に結論｜WordPress 7.1なら今回の脆弱性は修正済み
先に結論です。
今回、影響を受けるとされているWordPressのバージョンは、
- WordPress 6.9.0～6.9.4
- WordPress 7.0.0～7.0.1
です。対策として、
- WordPress 6.9.5
- WordPress 7.0.2
への更新が案内されています。
そのため、WordPress 7.1まで更新されていれば、今回の脆弱性については修正版が適用された状態です。
ただし、今回の注意喚起を読んで私が感じたのは、
最新版に更新されていることを確認するだけではなく、すでに不審な変更がされていないかも確認しておいた方がいい
ということでした。
そこで私は、WordPressの「バージョン」「ユーザー」「プラグイン」の3点を確認しました。
WordPressの「wp2shell」とは？
今回注意喚起されている「wp2shell」は、WordPress本体に存在する脆弱性です。
詳細👉WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
少し難しい話になりますが、イメージとしては、本来なら鍵がかかっていて外部から自由に操作できない場所に、システムの不備を利用して入り込まれてしまうようなものです。
IPAが関連情報として紹介しているWordPress公式の情報によると、今回の「wp2shell」では、WordPressの処理の不備を利用した「SQLインジェクション」と呼ばれる攻撃などを組み合わせることで、最終的に遠隔からコードを実行される可能性があります。
SQLインジェクションとは、Webサイトがデータベースに送る命令に不正な命令を紛れ込ませ、データの取得や書き換えなどを行う攻撃です。
さらに今回の脆弱性では、こうした攻撃を組み合わせることで、外部の攻撃者がWordPressを設置しているサーバー上で不正な処理を実行できる可能性があります。
たとえるなら、
「建物の入口を突破されるだけでなく、中にある設備まで勝手に操作される可能性がある」
ようなイメージです。
つまり、単に「記事を書き換えられる」というレベルではなく、Webサイトの土台となっているサーバーにまで影響が及ぶ可能性がある脆弱性ということです。
特に気になったのが、追加プラグインの有無にかかわらず、標準構成のWordPressでも対象となり得る点です。
さらにIPAでは、今回の脆弱性について、CISAの「悪用された脆弱性」のカタログに掲載されていることや、脆弱性を実証するコードが公開されていることも紹介しています。
そのため、
「怪しいプラグインを入れていないから大丈夫」
ではなく、まずWordPress本体が対策済みのバージョンになっているか確認することが重要です。
実際に確認したこと
① WordPressのバージョン
まず確認したのが、現在使用しているWordPressのバージョンです。
WordPress管理画面から、
「ダッシュボード」→「更新」
と進みます。
私のサイトでは、
現在のバージョン：7.1
となっており、「最新バージョンのWordPressをお使いです」と表示されていました。
今回の修正版である7.0.2より新しいため、WordPress本体については対策済みであることを確認できました。
② 見覚えのないユーザーがいないか
次に確認したのがWordPressのユーザーです。
今回公開されている攻撃手法では、不正に管理者ユーザーを作成することが可能とされています。
そこで、
「ユーザー」→「ユーザー一覧」
から、見覚えのないユーザーが追加されていないか確認しました。
確認したところ、登録されているのは自分だけ。
見覚えのない管理者ユーザーなどはありませんでした。
③ 覚えのないプラグインがないか
続いて、
「プラグイン」→「インストール済みプラグイン」
を確認しました。
今回公開されているPoCでは、不正に作成した管理者ユーザーを利用して悪意のあるプラグインを追加する方法が示されています。
そのため、自分でインストールした覚えのないプラグインが追加されていないかを確認しました。
私の場合は、すべて自分で導入したもので、不審なプラグインは見つかりませんでした。
昔作って放置していたWordPress
放置していたWordPressの確認
ここまで確認して、
「最新版だし、不審なユーザーもプラグインもない。大丈夫そう」
とほっとした一方、ここで一つ思い出しました。
私はメインのブログ以外にも、複数のURLを持っています。
その中には、WordPressの使い方を勉強したり、機能を試したりするために作ったテスト用サイトもありました。
普段更新しているブログについてはWordPressのアップデートを意識していましたが、テスト・勉強用に作ったサイトについては、作ったこと自体をほとんど忘れていました。
「そっちのWordPress、何バージョン……？」
と、ここで少しヒヤッとしました。
普段使っていないWordPressについても、当然ながらそれぞれメンテナンスが必要です。
そこで、使用していないサイトについても管理画面に入り、WordPressのバージョンを確認し、必要なものは最新版へ更新しました。
今回の件で、
「現在運営しているサイトだけでなく、過去に作ったWordPressがサーバー上に残っていないか確認する」
ことも大切だと感じました。
使っていないWordPressを放置するのは要注意
テストサイトや昔のホームページなどは、一度作ると存在そのものを忘れてしまうことがあります。
しかし、公開された状態でWordPressが残っていれば、普段使っていなくてもWordPressであることに変わりはありません。
特に、
- 昔作ったブログ
- テスト用サイト
- 勉強用にインストールしたWordPress
- サブドメインに作ったサイト
- リニューアル前のサイト
などが残っていないか、一度確認してみるとよさそうです。
今後使わないWordPressについては、最新版に更新して終わりではなく、バックアップの要否を確認したうえで削除することも選択肢になります。
今回確認したWordPressセキュリティチェック
今回、私が実際に確認した内容をまとめると次のとおりです。
- WordPress本体が最新版になっているか
- 見覚えのないユーザーが追加されていないか
- 覚えのないプラグインが追加されていないか
- 普段使っていないWordPressが残っていないか
- 複数サイトを持っている場合、それぞれ更新されているか
専門的な確認が必要な場合や不審な点が見つかった場合は、自分だけで判断せず、サーバー管理者やWeb制作会社などの専門家へ相談した方がよいでしょう。
まとめ｜「今使っていないWordPress」も忘れずに確認を
今回のwp2shellについて、WordPress 7.1を使用している私のメインサイトでは、修正版より新しいバージョンが適用されていました。
さらに、
- ユーザー
- プラグイン
についても確認し、目立った異常がないことを確認しました。
一方、今回一番ヒヤッとしたのは、過去にテスト・勉強用として作ったWordPressサイトの存在を忘れていたことです。
ホームページやブログは「作ったら終わり」ではありません。
これは企業のWebサイトでも同じです。
WordPressを利用している中小企業や個人事業主の方は、現在使っているホームページだけでなく、
「昔作ったサイトやテスト環境がどこかに残っていないか」
も、この機会に確認してみてはいかがでしょうか。
そして、今回をきっかけに、WordPressの管理画面だけでなく、IPAやレンタルサーバー会社からのセキュリティ情報にも目を通しておこうと思いました。
次に読む記事
📌【2026年版】デジタル化・AI導入補助金とは？変更点・採択率・申請ポイントを診断士が解説 | SacChi’s LOCAL WORKS
📌【2026年版】小規模企業共済と中退共の違いとは？経営者・従業員それぞれに最適な退職金制度を解説 | SacChi’s LOCAL WORKS
📌【中小企業向け】Webマーケティングとは？研修で学んだ「売れる仕組みづくり」のポイント（後日公開予定）
