これまで何度もお伝えしてきたWordPressの脆弱性は、たいてい「特定のプラグイン」が原因でした。しかし今回は違います。プラグインを1つも入れていない、まっさらなWordPress本体だけで、ログインすらせずにサイトを乗っ取れる脆弱性が見つかりました。「wp2shell」と呼ばれるこの問題を受けて、WordPress公式は7月17日、緊急のセキュリティアップデートを配信し、対象サイトへの強制適用にまで踏み切っています。プラグインの棚卸しをどれだけ徹底していても、今回ばかりは関係なかった——そんな話です。
何が起きたのか
WordPressセキュリティチームは7月17日、コア本体に存在する2つの脆弱性を修正するアップデートを公開しました。1つはSQLインジェクション（CVE-2026-60137）、もう1つはREST APIのバッチルート処理に関する不具合（CVE-2026-63030）です。この2つを組み合わせる（チェーンする）ことで、攻撃者はログイン不要の匿名リクエストだけで、サイト上で任意のコードを実行できてしまいます。
最も深刻なのは、この脆弱性がプラグインやテーマではなく、WordPress本体のコードに存在していた点です。プラグインを1つも入れていない、素のインストール状態のサイトでも攻撃が成立します。影響を受けるのはバージョン6.9系と7.0系。6.9は2025年12月2日にリリースされたバージョンで、それ以降のアップデートを適用してきたサイトは、公開範囲に含まれることになります。事の重大さを受けて、WordPress.orgチームは自動更新の仕組みを使い、対象サイトへのパッチを”強制適用”する対応を取りました。
今すぐ確認すべきこと
「強制適用されたなら、もう安心」と思うかもしれませんが、ここは慎重になったほうがいい点です。WordPress側は、自動更新を無効化しているサイトにまでこの強制パッチが届いたかどうかを、明言していません。つまり「配信されたはず」ではなく、実際に自分のサイトが今どのバージョンで動いているかを、自分の目で確認する必要があります。
加えて、7月18日にはこの脆弱性の完全な攻撃手法（メカニズム）が公開され、実際に動作する概念実証コード（PoC）もGitHub上で公開されています。パッチが出た直後は「まだ大丈夫」と油断しがちですが、攻撃手法が広く出回った今、悪用のハードルは一気に下がっています。すぐに行動すべきタイミングです。
これまでこのシリーズで繰り返し伝えてきた「使っていないプラグインを削除する」「更新をきちんと当てる」という対策は、依然として重要です。ただし今回のように、WordPress本体そのものに脆弱性が見つかるケースもある、という現実は押さえておく必要があります。プラグインの管理をどれだけ徹底していても、コア自体の脆弱性は別枠のリスクとして常に存在します。だからこそ、コアの自動更新を有効にしておくこと自体が、最後の防衛線として機能します。
WordPressサイトの緊急点検・保守
今回のようにWordPress本体に重大な脆弱性が見つかった際、実際にパッチが適用されているか、自動更新が正しく機能しているかの確認は、想像以上に見落とされがちです。緊急のバージョン確認から、複数サイトを運用している場合の一括点検まで対応します。「うちのサイト、今回のパッチちゃんと当たってるか不安」という方は、お気軽にご相談ください。島根県から全国対応です。
まとめ
WordPressサイトの緊急セキュリティ点検のご相談はお気軽にどうぞ。
WordPressセキュリティのご相談はこちら
無料相談する →