【緊急】WordPressに事前認証RCE脆弱性「wp2shell」｜影響バージョンと今すぐやるべき対策
2026年7月17日、WordPress本体に「wp2shell」と呼ばれる事前認証のリモートコード実行（RCE）脆弱性が公表されました。ログインなし・プラグインなしでも悪用が成立する重大な脆弱性で、対象はWordPress 6.9.0〜6.9.4および7.0.0〜7.0.1です。該当バージョンを使っている場合は、今すぐ管理画面でバージョンを確認し、最新のセキュリティリリース（6.9.5または7.0.2）へ更新してください。すでに実証コード（PoC）が公開されており、悪用の兆候も報告され始めています。
影響を受けるバージョンはどれか、早見表で確認
自分のサイトが対象かどうかは、バージョン番号だけで即座に判定できます。
| バージョン系統 | 影響内容 | 修正版 |
|---|---|---|
| 6.8.0〜6.8.5 | SQLインジェクションのみ（RCEチェーンは不成立） | 6.8.6 |
| 6.9.0〜6.9.4 | 事前認証RCE（完全なチェーンが成立） | 6.9.5 |
| 7.0.0〜7.0.1 | 事前認証RCE（完全なチェーンが成立） | 7.0.2 |
| 6.7以前 | 影響なし | ― |
管理画面の「ダッシュボード」→「更新」画面、またはフッターの表示でバージョン番号を確認できます。6.9系・7.0系を使っているサイトは特に優先度が高い対応が必要です。
この早見表と管理画面に表示されているバージョン番号を突き合わせれば、自分のサイトが対象かどうかのチェックはその場で終わります。表の「影響内容」欄が「影響なし」以外に該当した時点で、次の対応ステップに進んでください。
なぜ「事前認証RCE」はここまで危険なのか
事前認証RCEとは、ログインもプラグインも不要で、標準構成のまま悪用できる脆弱性を指します。危険性は主に3点に整理できます。
- ログイン不要: 攻撃者は管理者アカウントやパスワードを一切必要としません。
- プラグイン不要: プラグインを一つも入れていない素のWordPressでも影響を受けます。
- REST API経由で全サイトが対象: 脆弱性の起点はWordPress core標準搭載のREST APIバッチエンドポイント（
/wp-json/batch/v1）で、特別な設定をしていないサイトほど無防備な状態にあります。
wp2shellは、REST APIのバッチリクエスト処理における経路の混同（CVE-2026-63030）と、WP_Queryのauthor__not_inパラメータに存在するSQLインジェクション（CVE-2026-60137）を組み合わせて成立する脆弱性です。発見者はSearchlight Cyber傘下のAssetnoteに所属するAdam Kues氏で、WordPressのHackerOneプログラムを通じて報告されました。攻撃の再現手順そのものは本記事では扱いませんが、あおり抜きの事実として、影響範囲の広さは押さえておく必要があります。
今すぐやるべきことは、4つの対応ステップ
落ち着いて、次の順番で確認・対応を進めてください。
- 管理画面でバージョンを確認する: 「ダッシュボード」→「更新」からWordPress本体のバージョンを確認します。6.9.0〜6.9.4、7.0.0〜7.0.1に該当すれば優先対応が必要です。
- 最新のセキュリティリリースへ更新する: 対象は6.9.5または7.0.2（6.8系は6.8.6）です。自動更新が有効な環境では、重大度を踏まえてWordPress.org側が対象バージョンに強制自動更新を有効化したと公式発表されていますが、反映済みかどうかは必ず管理画面で自分の目で確認してください。自動更新が無効な環境やレンタルサーバーの管理画面から手動更新している場合は、反映されていない可能性があります。
- すぐに更新できない場合の暫定対策を検討する: どうしてもすぐにコア更新ができない場合の暫定策として、セキュリティベンダーAikidoは、WAF（Webアプリケーションファイアウォール）でパス
/wp-json/batch/v1とクエリパラメータrest_route=/batch/v1の双方をブロックする案を公開しています。ただしこれはあくまで一時しのぎであり、正式な更新の代わりにはなりません。 - 更新後は改ざん・不審ファイルの有無を確認する: 更新前の期間に不正アクセスを受けていないとは言い切れません。見覚えのない管理者アカウント、
wp-content配下の不審なPHPファイル、テーマ・プラグインの意図しない変更がないか、更新後に一通り目視で確認しておくと安心です。
制作・保守を外注している場合はどうすればいいか
自社でWordPressを直接管理していない場合は、まず制作会社・保守業者に「対象バージョンの確認と更新は済んでいるか」を問い合わせてください。委託先に運用を任せている案件ほど、更新確認の連絡が後回しになりやすい傾向があります。今回のように緊急度の高いセキュリティリリースでは、委託先からの能動的な連絡を待つだけでなく、こちらから状況を確認する姿勢が安全につながります。
よくある質問
Q. 自動更新をオンにしていれば、それだけで安心ですか。 A. 自動更新が正常に機能していれば多くの環境で適用済みと考えられますが、サーバー環境やプラグインの設定によって自動更新が失敗・無効化されているケースもあります。管理画面でバージョン番号を実際に確認するまでは「たぶん大丈夫」と判断しないことをおすすめします。
Q. 子テーマや利用中のプラグインは関係ありますか。 A. wp2shellはWordPress本体（core）の脆弱性であり、テーマやプラグインの種類には左右されません。プラグインを一つも導入していない標準構成のサイトでも影響を受けます。対応はWordPress本体のバージョンアップで完結します。
Q. すでに攻撃を受けていないか、どう確認すればいいですか。
A. 確実な判定には専門的なログ解析が必要ですが、一般的な観点として、見覚えのない管理者ユーザーの有無、wp-content配下の更新日時が不自然なファイル、サイトの表示内容や検索結果に見覚えのない変化がないかは自分でも確認できます。少しでも不審な点があれば、保守業者やセキュリティ専門家に相談することをおすすめします。
今後どう備えればいいか
今回のwp2shellのように、WordPress本体の重大な脆弱性は不定期に公表されます。都度手動で確認する体力がない場合、更新確認とセキュリティ監視を保守運用として任せてしまう選択肢もあります。webloomでは、制作費0円・月額9,900円〜のプランにWordPress保守・セキュリティ更新の確認を含めて提供しています。ご自身での対応が難しい場合は、お気軽にご相談ください。
出典（参照日: 2026年7月19日）
- WordPress 7.0.2 Release「WordPress 7.0.2 Release」
- The Hacker News「New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code」
- BleepingComputer「WordPress Core ‘wp2shell’ RCE flaws get public exploits, patch now」
- Aikido「Unauthenticated RCE Vulnerability in WordPress core (wp2shell), via SQL injection. Patch the vulnerability now!」
本記事の情報は2026年7月19日時点のものです。最新情報はWordPress.org公式をご確認ください。