Info今すぐWordPressのバージョンを確認してください

【2026年8月3日 追記】
公開当初の記載を一部訂正し、XML-RPC経由の攻撃に関する項目を追記しました。詳細は記事末尾に記載しています。

まず結論：今すぐWordPressのバージョンを確認してください

WordPressの管理画面にログインし、「ダッシュボード」→「更新」を開いてください。

• WordPress 6.9.5 / 7.0.2 以降 → 対応済みです（プラグイン・テーマの更新もご確認ください）
• それ以外 → 今すぐ更新してください。すでに攻撃対象です。

弊社では2026年8月3日未明、この脆弱性を悪用したとみられる不正アクセスを実際に確認しました。管理者パスワードを勝手に変更されて管理画面から締め出される、見知らぬ管理者ユーザーを複数作成される、といった被害です。他人事ではありません。

何が起きているのか

IPA（独立行政法人 情報処理推進機構）は2026年7月22日、WordPressの2件の脆弱性について注意喚起を公開しました。

• CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）
• CVE-2026-63030（GHSA-ff9f-jf42-662q）

この2つを組み合わせた攻撃手法は 「wp2shell」 と呼ばれています。恐ろしいのはその条件で、標準構成のまま、管理者権限もログイン情報も一切必要とせず、外部から任意のコードを実行できてしまうという点です。

つまり攻撃者は、あなたのIDもパスワードも知らないまま、サイトの中身を自由に操作できる状態になります。「複雑なパスワードにしているから大丈夫」は、今回に限っては通用しません。

さらに2026年7月21日（現地時間）、米国CISAの KEVカタログ（実際に悪用が確認された脆弱性の一覧） に登録されました。実証コードも既に公開されています。「理論上危ない」段階はとうに過ぎ、現在進行形で攻撃が行われている段階です。

想定される被害

• ウェブサイトの改ざん（不審な広告や詐欺サイトへの誘導）
• データベース内の情報窃取（お問い合わせ内容、会員情報など）
• サーバー内のファイル・認証情報の窃取
• サイトの完全な乗っ取り、管理者からの締め出し
• 自社サイトを踏み台にした、第三者への攻撃やスパム配信

影響を受けるバージョン

修正バージョン

• WordPress 7.0.2
• WordPress 6.9.5
• WordPress 6.8.6（CVE-2026-60137 への対応）

WordPress.org は該当バージョンに対して自動更新による強制更新を有効化したと発表しています。しかし、サーバー環境や設定によっては自動更新が無効になっていたり、更新に失敗しているケースがあります。
実際、弊社が被害を受けたサイトも自動更新が設定されていましたが、適用されていませんでした。「自動更新だから大丈夫」と思い込まず、必ずご自身の目でバージョンを確認してください。

「もう入られているかもしれない」サインを見逃さないでください

以下に一つでも心当たりがあれば、単なる更新漏れではなく侵入されている可能性があります。

• 身に覚えのない「パスワードが変更されました」というメールが届いた
• ユーザー一覧に、作った覚えのないユーザーが増えている
• 管理画面にログインできなくなった
• 投稿していない記事や固定ページが公開されている
• サイトを開くと見知らぬサイトへ勝手に転送される
• Google Search Console から警告メールが届いている
• サーバーの負荷や送信メール数が急に増えた

弊社が確認した事例では、深夜0時18分に「管理者パスワードが変更されました」という覚えのないメールが1通届いていただけでした。朝それに気づいてログインを試みたところ弾かれる、という形で発覚しています。深夜に届いた1通のメールが、唯一の手がかりだったことになります。

普段は読み飛ばしてしまうような自動通知メールこそ、いま一度ご確認ください。

応急対応の手順

作業前に必ずバックアップ（ファイル＋データベース）を取得してください。
改ざんされた状態であっても、後の調査における重要な証拠になります。復旧を急ぐあまり証拠を消してしまうと、侵入経路が二度と分からなくなります。

1. バックアップの取得 — ファイル一式とデータベースの両方
2. WordPress本体の更新 — 6.9.5 / 7.0.2 / 6.8.6 以降へ
3. プラグイン・テーマの更新 — 使用中のものをすべて最新に
4. ユーザー一覧の確認 — 不審なユーザーがいれば削除
5. 新規登録設定の確認 — 「設定」→「一般」で、「だれでもユーザー登録ができるようにする」がOFF、「新規ユーザーのデフォルト権限グループ」が「購読者」になっているか。ここが書き換えられていると、ユーザーを削除しても何度でも作り直されます
6. 全パスワードの変更 — 管理者、FTP、データベース、サーバー管理画面
7. セキュリティキー（SALT）の再発行 — 盗まれたログインセッションを無効化するため

もう一つの攻撃：XML-RPCへの総当たり

今回の調査で、脆弱性の悪用とは別系統の攻撃も確認されました。xmlrpc.php という機能を経由した、IDとパスワードの総当たり攻撃です。

厄介なのは、この攻撃が通常のログイン画面を通らない点です。ログイン試行回数を制限するプラグインを導入していても、XML-RPC経由の試行は素通りする設定になっていることがあります。

そして弊社が確認した事例では、実在するユーザー名が正確に狙われていました。 当てずっぽうではありません。ユーザー名が外部から取得できる状態になっていたためです。

WordPressは初期状態のままだと、以下のアドレスにアクセスするだけでサイトの利用者名一覧を誰でも取得できてしまいます。

https://[あなたのドメイン]/wp-json/wp/v2/users
https://[あなたのドメイン]/?author=1

ご自身のサイトで一度お試しください。ユーザー名が表示されるようであれば、対策が必要です。

対策としては、XML-RPCの無効化（Jetpackや公式スマホアプリからの投稿を使っていなければ、無効にして問題ありません）と、ユーザー名の露出を防ぐ設定が有効です。いずれも費用はかかりません。 セキュリティ系プラグインをお使いであれば、設定画面のトグル操作だけで完了する場合もあります。設定方法がご不明な場合は、弊社にてご対応いたします。

ここが一番大切です：「更新したから安心」ではありません

今回の脆弱性は任意のコードを実行されるタイプのものです。これは、攻撃者が更新前の時点で、サイトの中に「裏口」を仕込めたことを意味します。

裏口が残っていれば、WordPressを最新にしても、パスワードを変えても、攻撃者はいつでも戻ってこられます。

そのため、既に不審な兆候が出ているサイトでは、更新に加えて次の調査が必要です。

• WordPressコアファイルが改ざんされていないかの照合
• wp-content/uploads 等への不審なPHPファイルの混入確認
• mu-plugins（管理画面に一切表示されないプラグイン領域）の確認
• 不審なスケジュール実行（WP-Cron）タスクの確認
• .htaccess、wp-config.php の改ざん確認
• データベース内の不審な設定値・投稿の確認
• サーバーのアクセスログ調査による、侵入経路と時期の特定
• 個人情報の流出有無の判断

サーバーのアクセスログは7日〜30日で自動削除されるものが多く、時間が経つほど原因究明が難しくなります。心当たりのある方は、なるべく早くご相談ください。

弊社にてご対応いたします

インフィニマムでは、WordPressサイトの緊急対応を承っております。現在ご契約のないサイトでもご相談いただけます。

対応可能な内容

• 緊急診断 — バージョン確認、侵入痕跡の有無の一次調査
• 緊急復旧 — 管理画面に入れなくなったサイトのアクセス復旧
• 不正ユーザー・不審ファイルの駆除
• WordPress本体・プラグイン・テーマの安全な更新代行
• 改ざんされたサイトの復旧
• 再発防止策の実装 — 自動更新設定、XML-RPC遮断、ログイン制限、二要素認証、WAF導入、バックアップ体制の構築
• 継続保守 — 月次でのアップデートと稼働監視

弊社の対応と、現在の状況

弊社では2026年8月3日未明、管理するサイトへの不正アクセスを検知し、約20分で不正ユーザーの削除および本体・プラグインの更新を完了しました。その後、お預かりしている全てのサイト・サーバーの緊急点検を実施し、全件の更新を完了しております。

点検の結果、弊社が管理する複数のサイトにおいて不正アクセスの痕跡が確認されました。 現在、侵入経路の特定と影響範囲の調査を進めており、関係する皆様には個別にご報告のうえ対応を行っております。

弊社の管理体制の不備によりご心配をおかけしておりますことを、深くお詫び申し上げます。調査の結果につきましては、判明次第あらためてご報告いたします。

同時に、この経験から得た知見をもって、他のサイト運営者様のお力になれればと考えております。「もしかして」と思われたら、被害が広がる前にご連絡ください。確認だけでも構いません。

お電話：0852-67-2026（平日 9:00〜18:00）
緊急のご相談は、その旨をお伝えください。優先して対応いたします。

参考情報

• IPA「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」
• WordPress 7.0.2 リリース（WordPress.org 日本語）

※ 本記事は2026年8月3日時点の情報に基づいています。最新情報はIPAの発表をご確認ください。