2026年7月17日、WordPressセキュリティチームより、WordPress本体（Core）に重大な脆弱性が公表されました。

この脆弱性は「wp2shell」と呼ばれ、WordPress本体の不具合を悪用して、サイトが乗っ取られたり、遠隔から不正なプログラムを実行されたりする恐れがあります。

特にWordPress 6.9系および7.0系では、ログイン情報がなくても攻撃が成立する可能性があり、公開後すぐに実際の攻撃も確認されています。WordPressとしても緊急性の高いセキュリティアップデートを公開しています。

■ 対象となるバージョン

• WordPress 6.8.0 ～ 6.8.5
  • SQLインジェクションの脆弱性
• WordPress 6.9.0 ～ 6.9.4
  • SQLインジェクションとREST APIの脆弱性を組み合わせることで、認証不要の遠隔コード実行（RCE）の恐れ
• WordPress 7.0.0 ～ 7.0.1
  • SQLインジェクションとREST APIの脆弱性を組み合わせることで、認証不要の遠隔コード実行（RCE）の恐れ

■ 修正済みバージョン

以下のバージョンでは、この脆弱性が修正されています。

• WordPress 6.8.6
• WordPress 6.9.5
• WordPress 7.0.2

該当するバージョンをご利用の場合は、できるだけ早くアップデートすることをおすすめします。

■ 更新前後に確認したいポイント

アップデートの際は、次の点もあわせてご確認ください。

• サイト全体のバックアップを取得する
• WordPress本体を最新バージョンへ更新する
• 身に覚えのない管理者ユーザーが追加されていないか確認する
• 見慣れないプラグインやテーマ、不審なファイルがないか点検する
• 自動更新を停止しているサイトや、長期間更新していないサイトは特に注意する

■ 最後に

WordPressは世界中で利用されているCMSであるため、重大な脆弱性が公表されると短期間で攻撃が広がる傾向があります。

「あとで更新しよう」と思っているうちに攻撃対象となるケースも少なくありません。

まずは現在のWordPressのバージョンを確認し、修正版へのアップデートを行いましょう。

ご自身での更新に不安がある場合や、バックアップ・アップデート作業をご希望の方は、お気軽に弊社までご相談ください。