「WordPress」でホームページやブログを作っている方に、緊急のお知らせです。
弊社にも、ここ数日で「WordPressのバージョンアップは大丈夫か」「更新した方がいいのか」というお問い合わせが急増しています。それだけ多くの方が今回の件を気にされているということですので、改めて詳しくご説明します。
2026年7月17日、WordPress本体に非常に危険な欠陥（脆弱性）が見つかり、修正されました。この脆弱性は「wp2shell（ダブリューピーツーシェル）」と呼ばれています。 すでにインターネット上では、この脆弱性を悪用した攻撃が始まっています。難しい話は抜きにして、「何が起きるのか」「自分はどうすればいいのか」を、できるだけわかりやすく説明します。
MENU
どれくらい危険なの？(緊急度)
結論から言うと、最高レベルの緊急度です。理由は次の3つです。
① ログイン不要で乗っ取られる
普通、サイトを攻撃するには「IDとパスワードを盗む」などの手間が必要です。しかし今回の脆弱性は、ログインすらせずに、外部の誰でも攻撃できてしまいます。玄関の鍵をかけていても関係なく、壁に穴を開けて侵入されるようなイメージです。
② 危険度を示す数字が最高ランク
セキュリティの世界には「CVSS(シーブイエスエス)」という、脆弱性の危険度を0〜10点で表す点数があります。今回の脆弱性は9.8点(満点は10点)と、ほぼ最高ランクの危険度です。
③ すでに悪用が始まっている
一番怖いのはここです。この脆弱性は「見つかったばかりで、まだ誰も悪用していない」状態ではありません。発表からわずか数日で、実際に世界中のサイトへの攻撃が確認されています。 攻撃者はサイトを乗っ取り、裏口となる不正なプログラム（Webシェル）を勝手に設置したり、悪意のあるプラグインを勝手にインストールしたりしています。 つまり「そのうち対応すればいいや」ではなく、「今日中に」対応が必要なレベルです。
どんなサイトが危ないの？(対象バージョン)
自分のサイトが対象かどうかは、WordPressの管理画面に表示されている「バージョン番号」で確認できます。
危険なバージョン（このバージョンを使っている人は要注意）
– WordPress 6.9.0 〜 6.9.4
– WordPress 7.0.0 〜 7.0.1
安全なバージョン（修正済み）
– WordPress 6.9.5 以降
– WordPress 7.0.2 以降
💡 バージョンの確認方法
WordPressの管理画面にログイン →左メニューの「ダッシュボード」→「更新」ページ、または画面右下あたりに現在のバージョンが表示されています。
何が起きると危ないの?
この脆弱性を悪用されると、次のようなことが起こり得ます。
– サイトの中身（記事、顧客情報、会員情報など）を盗み見・改ざんされる
– サーバーに不正なプログラム（ウイルスのようなもの）を勝手に設置される
– サイトが改ざんされ、詐欺サイトや別の攻撃の踏み台にされる
– 最悪の場合、サーバー自体を乗っ取られる
「自分のサイトはブログだけだから大丈夫」ということはありません。攻撃者は情報を盗む以外にも、サーバーの計算能力を悪用したり、他の攻撃の中継地点として悪用したりするため、すべてのWordPressサイトが標的になります。
対策はシンプルです。落ち着いて、以下の順番で確認してください。
対策としてできること
✅ WP側（WordPress管理画面）でできること
① まずはWordPress本体を最新版に更新する
これが最も重要かつ、ほぼ唯一の確実な対策です。
1. WordPress管理画面にログイン
2. 左メニューの「ダッシュボード」→「更新」をクリック
3. 「WordPress ○○.○を今すぐ更新」ボタンがあれば押す
4. バージョンが 6.9.5以降 または 7.0.2以降 になっていることを確認する
📌 WordPress側は「自動更新」機能を持つサイトについて、強制的にアップデートを配信していると発表しています。ただし、必ず自分の目で更新が完了しているか確認してください。自動更新が無効になっている、あるいはサーバー環境によっては自動更新が失敗している可能性もあります。
② プラグイン・テーマも合わせて最新版にする
今回の脆弱性とは直接関係なくても、常に最新版にしておくことが基本の防御になります。「プラグイン」→「更新」から確認しましょう。
③ 不審な管理者アカウントやプラグインがないか確認する
もしすでに攻撃を受けていた場合、見覚えのない管理者アカウントや、身に覚えのないプラグインが追加されている可能性があります。
– 「ユーザー」→「すべてのユーザー」で管理者一覧を確認
– 「プラグイン」→「インストール済みプラグイン」で見覚えのないものがないか確認
少しでも不審な点があれば、契約しているサーバー会社や制作会社に相談してください。
④ 管理画面のパスワードを変更する
念のため、WordPressの管理画面（ログインID）のパスワードも新しいものに変更しておくと安心です。
✅ サーバー側でできること
WordPress自体を自分で管理していない・触るのが不安という方でも、以下の点はサーバー会社（レンタルサーバー事業者）に確認・相談できます。
① レンタルサーバー会社に「自動アップデート」の設定を確認し、できるならオンにする
エックスサーバーやロリポップ、ConoHa WINGなど多くの国内レンタルサーバーには、WordPressの「自動更新」設定があります。可能であれば、この設定はオンにしてください。今回のように「発見から数日で悪用が始まる」ケースでは、自分で気づいて手動更新するよりも、自動更新の方が対応が早く、安全性が高くなります。
⚠️ 注意：自動更新でサイトのデザインが崩れることがあります
WordPress本体やプラグイン・テーマの自動更新は安全性の面では非常に有効ですが、次のような不具合が起きることがあります。
– 使用しているテーマ（デザインのひな形）やプラグインが、新しいWordPressのバージョンに対応しておらず、レイアウトが崩れる
– 一部の機能（フォーム、スライダーなど）が正常に動かなくなる
– 表示していたはずの装飾やボタンが消える・ずれる
これは「今回の脆弱性対応の更新」に限った話ではなく、WordPressの更新全般に言えることです。ただし、セキュリティ上の緊急更新（今回のようなケース）を後回しにするリスクの方が大きいため、基本的にはメンテナンスリリースとセキュリティリリースのみを自動更新をオンにしておくことをおすすめします。デザイン崩れが心配な場合は、以下もあわせて行うと安心です。
– 更新前に必ずバックアップを取っておく（多くのサーバーで自動バックアップ機能あり）
– 更新後は一度、実際にサイトの表示を自分の目で確認する
– 崩れていた場合は、バックアップから復元するか、制作会社・サーバーサポートに相談する
② WAF（ワフ／Web Application Firewall）を有効にする
多くのレンタルサーバーには「WAF」という、不正なアクセスを自動でブロックしてくれる機能が無料または追加料金で用意されています。設定がオフになっている場合は、オンにすることを強くおすすめします（すでに述べた通り、根本的な対策はWordPress本体の更新ですが、WAFは「保険」として非常に有効です）。
③ サーバーのアクセスログを確認する
心配な場合は、不正アクセスがないか、ログを確認してみてはいかがでしょうか？また、多くのサーバー会社が今回の件についてお知らせを出していますので、確認してみてください。
弊社の共有サーバー Pallet UP も 【重要】WordPressの脆弱性（通称 wp2shell）に関する注意喚起 についての案内を出しています。
④ バックアップを取っておく
万が一に備えて、更新作業の前に必ずサイトのバックアップ（サイトのデータとデータベース）を取っておきましょう。多くのレンタルサーバーには自動バックアップ機能があります。
まとめ：今日やることリスト
情報リテラシーに自信がない方でも、以下だけは今日中に行ってください。
□ WordPress管理画面にログインし、バージョンを確認する
□ バージョンが古ければ、今すぐ更新する（6.9.5以降 または 7.0.2以降に）
□ プラグイン・テーマもまとめて更新する
□ 心配な場合は、契約しているサーバー会社に問い合わせる
□ 自分で判断できない場合は、制作会社やサーバーのサポート窓口に相談する
「難しそうだから後回しにしよう」が一番危険です。WordPressの更新作業自体は、通常ボタンをクリックするだけの簡単な作業です。まずはバージョン確認と更新だけでも、今すぐ行動してください。
ご自身での対応が不安な方へ
「バージョンを確認したけど、更新して大丈夫か不安」「デザインが崩れないか心配」「サーバー側の設定がよくわからない」という方も多いかと思います。
弊社ではWordPressの保守・運用代行も承っております。今回のような緊急のセキュリティ対応はもちろん、日頃のバージョン管理やバックアップ、万が一の際の復旧対応まで、まとめてお任せいただけます。ご不安な方は、お気軽にご相談ください。
※本記事は2026年7月22日時点の情報をもとに作成しています。最新の状況については、ご利用のレンタルサーバー会社やWordPress公式の発表もあわせてご確認ください。
