WordPress「wp2shell」緊急対策｜対象バージョンと更新・感染確認のポイント

2026年7月17日、WordPressは重大なセキュリティ問題を修正したバージョン7.0.2を公開しました。通称「wp2shell」と呼ばれる問題に関連し、対象バージョンのまま運用しているサイトは、管理画面にログインしていない第三者から攻撃されるおそれがあります。

レンタルサーバー会社や保守サービスから注意喚起が届いた方は、慌ててファイルを削除したり、WordPressを再インストールしたりする必要はありません。まず現在のバージョンを確認し、対象ならバックアップを確保してから速やかに更新してください。

対象バージョンと更新先

WordPress 6.8より前のバージョンは、今回公表された2件の脆弱性の対象外とされています。ただし、古いWordPressには別の脆弱性や互換性の問題が残ることがあります。今回の対象外だから安全と判断せず、バックアップと動作確認の計画を立てたうえで、現在サポートされているバージョンへの移行を検討してください。

「wp2shell」とは何が危険なのか

wp2shellは、WordPress本体で見つかった次の2件の問題が連鎖する攻撃を指す通称です。

攻撃が成立すると、非公開データへのアクセス、管理者権限の奪取、記事や画像の改ざん・削除、不審なコードの設置など、サイト全体に影響する不正操作へ発展するおそれがあります。プラグインを入れていないサイトでも、WordPress本体が対象バージョンなら確認が必要です。

今すぐ行う5つの確認

WordPressを更新する方法

WordPress管理画面から更新する場合

1. WordPressの管理画面にログインします。
2. 左メニューの「ダッシュボード」→「更新」を開きます。
3. 現在のバージョンと更新案内を確認します。
4. バックアップを確認してから、画面の案内に従って更新します。
5. 更新後、バージョンと公開画面をもう一度確認します。

レンタルサーバーの管理画面から更新する場合

利用中のレンタルサーバーによっては、サーバーの管理画面にWordPress本体の更新機能が用意されています。機能名や操作手順はサービスごとに異なるため、各社の公式ヘルプで確認してください。案内メールのリンクが不安なときは、メール内のボタンからではなく、普段利用している管理画面を直接開いて操作します。

更新できた後も、心配なときは侵入の有無を確認します

更新は新たな攻撃を防ぐために最優先ですが、更新前にすでに侵入されていた場合、更新だけで不審な管理者や設置済みのファイルが消えるわけではありません。次のような兆候がある場合は、感染・改ざんの確認が必要です。

• 知らない管理者ユーザーが追加されている
• 覚えのない記事、固定ページ、広告、リンクがある
• 検索結果やアクセス時に別サイトへ転送される
• サーバーやセキュリティサービスから警告が届いた
• 更新後もエラー、表示崩れ、ログイン不能が続いている

不審なPHPファイルやユーザーを見つけても、すぐ削除すると侵入経路を調べる手がかりまで失うことがあります。URL、日時、警告文、スクリーンショットを残し、バックアップを確保してから専門家へ相談してください。

よくある質問