いつも株式会社スイッチのホームページをご覧いただき、誠にありがとうございます。
2026年7月17日、WordPress本体に、外部から悪意を持ってWebサイトを乗っ取られてしまう重大な脆弱性が公表されました。セキュリティ業界では通称wp2shellと呼ばれており（サイトを乗っ取られてしまう、という意味合いを込めた名称です）、WordPress公式サイトからも修正版（7.0.2）の緊急リリースが発表されています。
参考：WordPress公式サイト「WordPress 7.0.2 Release」（2026年7月17日） https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
この問題は特定のプラグインやテーマの有無に関わらず、対象バージョンのWordPressを使用しているすべてのWebサイトに影響します。すでに実際の悪用や攻撃コードの公開も確認されており、非常に警戒度の高い状況が続いています。弊社の対応状況と、Webサイトを管理されている皆様へのお願いを以下にご案内いたします。
今回の問題は、実は2つの不具合が組み合わさって起きています。ログイン権限を持たない第三者が、この2つを足がかりにしてサーバーに直接命令を送り込み、Webサイトを乗っ取ることができてしまうというものです。パスワードを知っているかどうかや、管理者としてログインできるかどうかは関係ありません。
いったん乗っ取られたあとは、WordPressを最新版に更新するだけでは元に戻らないケースが多い
特に注意が必要なのは、特別なプラグインを入れていない、いわば素の状態のWordPressでも影響を受けてしまう点です。サイトの見た目や運用方法にかかわらず、対象バージョンであれば誰でも標的になり得ます。
今回の脆弱性の場合、具体的には、ログインなしでもデータベースの中身を覗き見できてしまい、そこから管理者権限のアカウントを勝手に作られ、最後にはサーバーそのものに命令を送って好きなプログラムを動かされる、というところまで進んでしまいます。さらに被害が大きいと判断されると、レンタルサーバー側でサイトごと一時停止させられることもあります。
多くのサーバー事業者でも、緊急措置として攻撃の通り道となる一部の通信（REST APIのバッチ処理という機能）を遮断する対応を行っています。ただしこれはあくまで一時的な防御であり、根本的な解決にはWordPress本体の更新が欠かせません。
本記事執筆時点（2026年7月21日）で、この脆弱性を悪用する攻撃コードはすでに公開されており、実際にこれを悪用しようとする攻撃の兆候も複数のセキュリティ企業から報告されています。発表から時間が経つほど、対応を後回しにするリスクは高まります。まだ確認が済んでいない場合は、できるだけ早めのご対応をおすすめします。
・6.8系をご利用の場合：6.8.0 から 6.8.5
・6.9系をご利用の場合：6.9.0 から 6.9.4
・7.0系をご利用の場合：7.0.0 から 7.0.1
上記いずれかに該当する場合は、更新が必要です。
弊社（株式会社スイッチ）にてWebサイトの保守管理・運用サポートをご契約いただいているお客様のWordPressサイトにつきましては、必要なセキュリティアップデートおよび安全確認の作業をすでに完了しております。
サーバー側で一時的な通信制限が実施されている場合でも、表示や運用に支障が出ないよう対応済みですので、どうぞご安心ください。
管理画面にログインいただき、更新のメニューから最新版（7.0.2、6.9.5、6.8.6以降）へのアップデートをお願いいたします。自動更新を設定されている場合も、実際に更新が完了しているかを一度ご確認いただくと安心です。
自社のWordPressが対象バージョンかどうかわからない
自分で更新すると表示が崩れたり、動かなくなったりしないか心配
アップデートを長期間放置してしまっている
このようなお悩みがございましたら、現状の確認から安全な更新作業まで、弊社にてスポットでご対応いたします。
対応を先延ばしにすると、Webサイトの改ざんや個人情報漏洩といったリスクが日に日に高まります。お早めに弊社Webサイトのお問い合わせフォームよりご相談ください。
この記事は役に立ちましたか？
ご回答ありがとうございました。
