「wp2shellに攻撃されたかもしれない」と相談されて、
何から確認すればよいかわからず不安になっていませんか？
wp2shellは、WordPress本体の脆弱性として大きく話題になった攻撃です。
プラグインを入れていないサイトでも影響する可能性があるため、通常のプラグイン停止だけでは判断できません。
ただし、慌ててファイルを消したり、WordPressを上書きしたりすると、
侵害確認に必要な証拠まで失うことがあります。
よこやま良平WordPressの復旧を多数手がけてきたよこやま良平です。わたしの現場経験をもとに、wp2shell攻撃の考え方、確認手順、自分で難しい時の依頼判断をわかりやすく解説します。
- wp2shell攻撃が初心者にとって危険な理由
- 攻撃された可能性がある時に最初に確認すること
- 自分で対応してよい範囲と、依頼すべき境界線
- 復旧後に再発防止として見直すべきポイント
結論から言うと、wp2shellが疑われる時は「更新」「証拠保全」「侵害確認」「復旧」「再発防止」の順番で進めるべきです。
この記事では、専門用語をなるべくかみ砕きながら、
相談を受けた時に読者が迷わない確認手順を解説します。
こんなお悩みはありませんか？
- ある朝、サイトを開いたら真っ白画面になっていた
- 管理画面にログインできなくなって手が止まった
- 身に覚えのない記事やページが勝手に増えていた
- プラグインを更新したらサイト全体が崩れてしまった
- 以前バックアップを取ったか自分でも覚えていない
累計1,000件以上のWordPressトラブル対応の経験から、「壊れる前に備える」ためのチェックリストを1冊にまとめました。
ログイン・本体・バックアップ・サーバー・運用の5分野を、50項目で「危険度・確認方法・対処法」まで解説しています。
セキュリティプラグイン・WordPressの教科書も含めた3大特典を、
今なら無料で受け取れます。
wp2shell攻撃とはWordPress本体を狙う危険な脆弱性
wp2shell攻撃とは、WordPress本体の複数の脆弱性を組み合わせ、攻撃者がサイトを乗っ取る可能性がある深刻な攻撃です。
WordPress公式は2026年7月17日に、WordPress 7.0.2、6.9.5、6.8.6などのセキュリティ更新を案内しました。
特に6.9系と7.0系では、REST APIの問題とSQLインジェクションが組み合わさることで、リモートコード実行につながると説明されています。
wp2shellはプラグインだけの問題ではない
WordPressの不具合やハッキングというと、プラグインの脆弱性を想像する方が多いです。
しかしwp2shellは、WordPress本体の処理に関係する問題として扱われています。
そのため、「怪しいプラグインを消せば終わり」と考えるのは危険です。
本体の更新、管理者ユーザーの確認、サーバー内ファイルの調査まで必要になります。
- WordPress本体のバージョンが古いと危険性が高い
- ログインしていない攻撃者から狙われる可能性がある
- 管理者ユーザーを作られる可能性がある
- 侵害後にプラグインやファイルを追加される可能性がある
wp2shellの影響を受ける可能性があるバージョン
公式情報では、WordPress 6.9.0から6.9.4、7.0.0から7.0.1が、CVE-2026-63030の影響を受ける範囲として案内されています。
また、CVE-2026-60137については6.8系にも修正版が出ています。
初心者の方は、CVE番号をすべて覚える必要はありません。
大事なのは「WordPress本体を安全な最新版へ更新できているか」を確認することです。
- WordPress 7.0系なら7.0.2以上か
- WordPress 6.9系なら6.9.5以上か
- WordPress 6.8系なら6.8.6以上か
- 自動更新が止まっていないか
wp2shell攻撃を受けたかもしれない時の初動
wp2shell攻撃を受けた可能性がある時は、すぐに削除作業へ入らず、まず現状を保全しながら確認します。
攻撃後のWordPressでは、管理者ユーザー、プラグイン、テーマ、uploadsフォルダ、.htaccess、wp-config.php、データベースに痕跡が残ることがあります。
先に消してしまうと、侵入経路や再発原因を追いにくくなります。
WordPress本体を更新する前にバックアップを取る
緊急時でも、最初にファイルとデータベースのバックアップを取得してください。
感染状態のバックアップであっても、調査や復旧の比較材料として役立つことがあります。
- WordPressファイル一式
- データベースのエクスポート
- サーバーのアクセスログとエラーログ
- 現在の管理者ユーザー一覧
- 不審ファイルのパスと更新日時
管理者ユーザーが増えていないか確認する
wp2shell関連の説明では、攻撃者が管理者権限を得る可能性が指摘されています。
そのため、見覚えのない管理者ユーザーがないかを必ず確認します。
管理画面に入れる場合は「ユーザー」一覧を確認します。
入れない場合は、phpMyAdminやWP-CLIで管理者ユーザーを確認する必要があります。
wp user list --role=administrator
不審なプラグインやPHPファイルを確認する
攻撃者が管理者権限を得た場合、悪意あるプラグインやPHPファイルを置くことがあります。
特に、最近更新された見覚えのないファイルは注意して確認してください。
find ./wp-content -type f -name "*.php" -mtime -14 -ls- wp-content/plugins
- wp-content/themes
- wp-content/uploads
- WordPress直下の見覚えのないPHPファイル
wp2shell攻撃で初心者がやってはいけないこと
wp2shell攻撃が疑われる時ほど、初心者の方は危険な作業を避けるべきです。
「とりあえず消す」「とりあえず上書きする」「とりあえず初期化する」は、復旧を難しくすることがあります。
まずは被害の範囲を確認し、戻せる状態を作ってから作業してください。
不審ファイルを一括削除しない
不審なファイルを見つけるとすぐ削除したくなりますが、正常ファイルとの見分けがつかない状態で消すのは危険です。
削除前に、ファイル名、場所、更新日時、内容をメモしておきます。
- バックアップを取ったか
- ファイルの更新日時を記録したか
- 同じ更新日時のファイルが他にもないか
- 削除後にサイトが壊れた時に戻せるか
WordPress本体だけ上書きして終わりにしない
WordPress本体の更新は重要ですが、それだけで侵害後の復旧が完了するわけではありません。
すでに管理者ユーザーや悪意あるファイルが追加されている場合、更新後も被害が残ります。
本体更新は「入口をふさぐ作業」であり、侵害確認は「中に入られた後の痕跡を探す作業」です。
この2つを分けて考えることが大切です。
パスワード変更だけで安心しない
管理者パスワードを変更することは必要です。
ただし、不正な管理者ユーザーやバックドアが残っている場合、パスワード変更だけでは再侵入を止められません。
wp2shell攻撃の復旧で自分でできる範囲
wp2shell攻撃の復旧で自分でできる範囲は、WordPress更新、バックアップ取得、管理者ユーザー確認、表面的な不審ファイル確認までです。
ここまでで異常がなければ、ひとまず大きな被害が見えていない可能性があります。
一方で、不審なユーザーやファイルが見つかる場合は、専門的な復旧作業に切り替えるべきです。
自分で確認してよい作業
- WordPress本体のバージョン確認
- ファイルとデータベースのバックアップ取得
- 管理者ユーザー一覧の確認
- 見覚えのないプラグインの確認
- Wordfenceなどによるスキャン
スキャンを使う場合は、検出結果をそのまま全部削除するのではなく、まず内容を確認してください。
無料スキャンには限界があり、検出されないバックドアが残ることもあります。
自分でやらない方がよい作業
データベースの直接編集、感染ファイルの一括削除、WordPressの丸ごと上書き、サーバー初期化は慎重に判断してください。
操作を間違えると、復旧前より状況が悪くなります。
- 知らない管理者ユーザーがある
- wp-content/uploads内にPHPファイルがある
- 検索結果やスマホだけ別サイトへ飛ぶ
- Googleに危険なサイトと表示されている
- 復旧しても数日後に再発する
wp2shell攻撃後に再発防止で見直すこと
wp2shell攻撃後は、復旧だけでなく再発防止まで行う必要があります。
脆弱性をふさいでも、侵害後に作られた管理者ユーザーやバックドアが残っていれば再発します。
復旧後は、アカウント、ファイル、プラグイン、サーバー設定をまとめて見直してください。
WordPress・プラグイン・テーマを最新版にする
まずWordPress本体を安全なバージョンへ更新します。
あわせて、プラグインとテーマも最新版にしてください。
使っていないプラグインやテーマは、停止ではなく削除まで行います。
古いコードが残っているだけで、別の侵入口になることがあります。
管理者権限とログイン防御を見直す
管理者ユーザーは必要最小限にします。
使っていない管理者、共有アカウント、弱いパスワードのアカウントは見直してください。
- 不要な管理者ユーザーを削除する
- すべての管理者パスワードを変更する
- ログインURL変更やログイン試行制限を導入する
- XML-RPCを不要なら制限する
- uploadsフォルダでPHPが動かないようにする
復旧後もしばらく監視する
復旧直後に問題が見えなくても、数日後に再発するケースがあります。
Search Console、サーバーログ、管理者ユーザー、最近更新されたファイルをしばらく確認してください。
wp2shell攻撃に関するよくある質問
wp2shell攻撃を受けた時の確認と復旧まとめ
wp2shell攻撃が疑われる時は、WordPress本体の更新だけで終わらせず、侵害後の痕跡まで確認することが重要です。
まずバックアップを取り、WordPressのバージョン、管理者ユーザー、不審ファイル、プラグイン、サーバーログを確認します。
そのうえで、必要に応じて復旧と再発防止を進めてください。
- WordPress本体を安全なバージョンへ更新する
- 更新前後でバックアップと証拠を残す
- 知らない管理者ユーザーがないか確認する
- 不審なPHPファイルやプラグインを確認する
- 自分で判断できない場合は早めに依頼する
特に、見覚えのない管理者ユーザー、不審なPHPファイル、リダイレクト、Google警告がある場合は、
自力対応を続けるよりも専門家に依頼した方が安全です。
wp2shell攻撃の疑いが自分で解決できない時は
ホームページの乗っ取り・マルウェア感染・不正アクセスでお困りなら、
クイックレスキューが解決します。
- wp2shellに攻撃された可能性がある
- 知らない管理者ユーザーや不審ファイルが見つかった
- ホームページが乗っ取られた・改ざんされた
- Googleに危険なサイトと表示されている
- 自分で復旧しようとしたが直らない
- 万一復旧できない場合やマルウェア駆除できない場合は全額返金保証で安心
- 90日間再感染保証・動作保証で安心
- 初期費用・調査費用0円で安心
