「wp2shellという危険な脆弱性が見つかったらしいけれど、自分のWordPressは大丈夫？」と不安になっていませんか？
wp2shellは、古いプラグインだけの問題ではありません。
WordPress本体の特定バージョンにある2つの欠陥を組み合わせ、ログインしていない攻撃者がサイトを乗っ取れる深刻な脆弱性です。
しかし、慌ててファイルを削除する必要はありません。
最優先でバージョンを確認し、安全な版へ更新したうえで、侵害の痕跡がないかを順番に確認することが正解です。
よこやま良平WordPressの復旧を多数手がけてきたよこやま良平です。わたしの現場経験をもとに、wp2shellの意味と緊急対策を初心者にもわかる言葉で解説します。
- WordPress脆弱性wp2shellの意味と危険性
- 影響を受けるWordPressバージョン
- 初心者が今すぐ行う5つの緊急対策
- 更新後も必要な侵害チェックと再発防止
結論から言えば、WordPress 6.9.0〜6.9.4または7.0.0〜7.0.1を使っている場合は緊急対応が必要です。
管理画面の「更新」から、6.9.5または7.0.2以降へすぐに更新してください。
自動更新されたと思い込まず、実際のバージョン表示を確認するところから始めましょう。
こんなお悩みはありませんか？
- ある朝、サイトを開いたら真っ白画面になっていた
- 管理画面にログインできなくなって手が止まった
- 身に覚えのない記事やページが勝手に増えていた
- プラグインを更新したらサイト全体が崩れてしまった
- 以前バックアップを取ったか自分でも覚えていない
累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。
セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。
WordPress脆弱性wp2shellとは？初心者向けに解説
wp2shellとは、WordPress本体に見つかった2つの脆弱性を連鎖させ、認証前の第三者が遠隔からコードを実行できる攻撃経路の通称です。
ログイン不要で悪用される「RCE」の脆弱性
RCEは「Remote Code Execution」の略で、日本語では遠隔コード実行と呼ばれます。
攻撃者が管理画面へログインしなくても、サーバー上で不正な処理を動かせる状態です。
悪用されると、不正な管理者の追加、悪質なプラグインの設置、Webシェルと呼ばれる裏口の作成、迷惑サイトへの転送などにつながります。
画面が普通に表示されていても、裏側で侵害されている可能性がある点に注意が必要です。
2つの欠陥が連鎖するため「wp2shell」と呼ばれる
wp2shellは、REST APIの一括処理に関する経路の取り違えと、データベースへの問い合わせを不正操作できるSQLインジェクションを組み合わせた問題です。
- 問題があるのは特定のWordPress本体であり、プラグインが原因とは限らない
- パスワードを知らない攻撃者でも悪用できる
- 更新だけで入口は閉じられるが、侵害済みなら別途復旧が必要
NVD（米国国立標準技術研究所の脆弱性データベース）では、CVE-2026-63030の深刻度を9.8の「Critical」とする評価が掲載されています。
さらに、実際の悪用が確認された脆弱性としてCISAのKEVカタログにも追加されました。
つまり、将来悪用されるかもしれない理論上の問題ではありません。
対象バージョンをインターネット上で公開しているなら、アクセス数やサイト規模にかかわらず、同じ日に対処すべき緊急案件です。
WordPress脆弱性wp2shellの対象バージョンを確認
wp2shellの緊急度を判断するには、最初にWordPress本体のバージョンを確認します。
公式情報では、6.9系と7.0系の一部が完全な攻撃連鎖の影響を受けます。
6.9.0〜6.9.4と7.0.0〜7.0.1は影響を受ける
- WordPress 6.9.0〜6.9.4：6.9.5以降へ更新
- WordPress 7.0.0〜7.0.1：7.0.2以降へ更新
- WordPress 6.8系：別のSQLインジェクション対策を含む6.8.6以降へ更新
- WordPress 6.8より前：wp2shellの完全な連鎖対象外でも、古い版を使い続けず最新版へ更新
WordPress公式によると、6.8系は2つの問題のうち一方のみの影響を受け、6.8.6で修正されています。
「wp2shellの対象外だから古いままでよい」という意味ではありません。
管理画面で現在のバージョンを見る方法
管理画面へログインし、「ダッシュボード」→「更新」を開いてください。
画面上部に現在のWordPressバージョンと、利用可能な更新が表示されます。
管理画面へ入れない場合は、レンタルサーバーの管理画面にあるWordPress簡単インストール機能や、サーバー会社のサポートで確認できます。
複数サイトを運営している場合は、サイトごとに確認が必要です。
【※画像挿入※ WordPress管理画面「ダッシュボード→更新」のバージョン確認画面】
WordPress脆弱性wp2shellの緊急対策5ステップ
wp2shellへの緊急対策は、バックアップ、更新、キャッシュ削除、確認、認証情報の見直しという順番で進めます。
不審なファイルを勘だけで消すと、証拠や正常なデータまで失うため避けてください。
ステップ1：現在のファイルとデータベースを退避する
更新前に、ファイル一式とデータベースの両方をバックアップします。
侵害が疑われる場合でも、現状のコピーは調査や復旧に役立つため残すべきです。
ただし、このバックアップを「安全な復元元」とは考えないでください。
すでに侵害されていれば、不正ファイルも一緒に保存されるためです。
ステップ2：WordPress本体を修正版へ更新する
バックアップ後は、管理画面の「ダッシュボード」→「更新」から修正版へ更新します。
6.9系なら6.9.5以降、7.0系なら7.0.2以降が最低ラインです。
現在の最新版へ更新できる環境なら、原則として最新版を選びます。
更新後に同じ画面を開き、表示されるバージョンが実際に変わったことまで確認してください。
ステップ3：キャッシュを削除してサイトを確認する
更新後は、キャッシュプラグイン、サーバーキャッシュ、CDNのキャッシュを削除します。
古い画面が残ると、更新の成否や不正転送の有無を正しく判断できません。
パソコンとスマートフォン、ログイン中とログアウト状態の両方で主要ページを開きます。
不審な広告、海外サイトへの転送、身に覚えのないポップアップが出ないか確認しましょう。
ステップ4：不審な管理者・プラグイン・ファイルを調べる
更新は新しい攻撃を防ぎますが、すでに設置された裏口までは消してくれません。
「ユーザー」一覧、プラグイン一覧、最近変更されたPHPファイル、アクセスログを確認します。
- 知らない管理者ユーザーが追加されている
- 身に覚えのないプラグインが有効化されている
- PHPファイルの更新日時が攻撃公表後に集中している
- 検索結果やスマートフォンだけ別サイトへ転送される
- 管理者パスワードが突然使えなくなった
心当たりのない項目があっても、すぐに削除する前に画面やログを保存してください。
不正ファイルが1つ見つかっただけで調査を終えると、別の裏口から再感染することがあります。
ステップ5：パスワードと秘密鍵を変更する
侵害の可能性がある場合は、WordPress管理者、レンタルサーバー、FTP・SFTP、データベース、関連メールのパスワードを変更します。
使い回しはやめ、サービスごとに長く異なるパスワードを設定してください。
WordPressの認証用秘密鍵（SALT）も更新すると、既存のログインセッションを無効化できます。
作業に不安がある初心者は、先にサーバー会社や復旧専門家へ相談するほうが安全です。
- 現状をバックアップする
- WordPress本体を修正版へ更新する
- キャッシュを削除して表示を確認する
- 侵害の痕跡を確認する
- 認証情報を変更する
WordPress脆弱性wp2shellで更新できない時の一時対策
すぐに更新できない場合は、REST APIのbatchエンドポイントへの匿名アクセスを一時的に遮断します。
ただし、これは恒久対策ではなく、更新までの時間を稼ぐ応急処置です。
WAFでbatch APIへのアクセスを遮断する
Searchlight Cyberは、一時対策としてWAFで次の経路をブロックする方法を案内しています。
/wp-json/batch/v1
?rest_route=/batch/v1設定方法はサーバーやWAFサービスによって異なります。
REST APIを全面的に止めると、ブロックエディターや外部連携など正規機能へ影響する可能性があります。
更新できない状態を長引かせない
一時遮断ができても、できるだけ早くWordPress本体を更新してください。
WAFの設定漏れや別表記による回避を完全に防げるとは限らないためです。
アクセス遮断は脆弱なコードそのものを直しません。
バックアップを確保し、動作確認のうえで修正版へ更新することが最終的な対策です。
WordPress脆弱性wp2shellの更新後に行う再発防止
wp2shell対策は、WordPressを更新して終わりではありません。
侵害の有無を確認し、今後の緊急更新を見逃さない運用へ変えることが重要です。
コア・テーマ・プラグインを継続して更新する
WordPress本体だけでなく、テーマとプラグインも最新版へ更新し、不要なものは削除します。
停止しただけのプラグインもサーバー上にコードが残るため、脆弱性があれば攻撃対象になり得ます。
自動更新を活用しつつ、更新通知を受け取れるメールアドレスが有効かも確認してください。
月1回ではなく、重大なセキュリティ情報が出た日は臨時確認できる体制が理想です。
バックアップとログを別の場所に保管する
バックアップは同じサーバーだけに置かず、クラウドストレージや手元の端末など別の場所にも保管します。
攻撃でサーバー全体が壊れた場合、同じ場所のバックアップも失う恐れがあるためです。
アクセスログや操作ログの保存期間も確認しましょう。
異常が起きてから数週間後に気づいた場合、ログがなければ侵入経路や被害範囲の特定が難しくなります。
基本的なログイン防御を追加する
今回のwp2shellはログイン防御だけでは防げない問題でしたが、別の攻撃に備えるため二要素認証、ログイン試行制限、不要なXML-RPCの遮断なども有効です。
クイックレスキュー365は、不正ログインブロック、ログインURL変更、XML-RPC遮断、UploadsフォルダでのPHP実行禁止などを無料で設定できます。
ただし、マルウェアをスキャンする機能はないため、感染調査とは役割を分けて使ってください。
WordPress脆弱性wp2shellのよくある質問
wp2shellについて初心者から寄せられやすい疑問をまとめます。
WordPress脆弱性wp2shellの緊急対策まとめ
wp2shellは、WordPress本体の2つの欠陥を連鎖させ、未ログインの攻撃者が遠隔からコードを実行できる重大な脆弱性です。
6.9.0〜6.9.4または7.0.0〜7.0.1を使っている場合は、直ちに修正版へ更新してください。
対応の基本は、現状バックアップ、WordPress更新、キャッシュ削除、侵害確認、認証情報変更の5段階です。
更新後も不審な管理者やファイルが残っていないか確認しなければ、完全な安全確認にはなりません。
wp2shellの感染や改ざんを自分で確認できない時は
wp2shellの対象バージョンを使っていた、知らない管理者や不審なファイルが見つかったなど、
WordPressの侵害が心配ならクイックレスキューが調査・復旧します。
- wp2shellの対象だったが侵害の確認方法がわからない
- 知らない管理者やプラグインが追加されている
- 海外サイトへの転送や不審な広告が出る
- 更新後もマルウェアや裏口が残っていないか調べたい
- 自分で復旧しようとしたが直らない
- 万一復旧できない場合やマルウェア駆除できない場合は全額返金保証で安心
- 90日間再感染保証・動作保証で安心
- 初期費用・調査費用0円で安心
