【今すぐ確認】WordPressの重大脆弱性「wp2shell」(CVE-2026-63030) セルフチェック完全ガイド

2026年7月17日、WordPressのコア機能に「wp2shell」と呼ばれる重大な脆弱性が公表されました。プラグインの有無に関わらず、ログインすらしていない第三者がサイトを乗っ取れる可能性がある、非常に危険な脆弱性です。

公表直後から実際の攻撃が確認されており、対応の速さがそのまま被害の有無を左右する状況になっています。この記事では、専門知識がなくても今すぐできる3つのセルフチェック方法と、チェックの結果どう動けばいいかをまとめました。

レリゴでは楽天商品ページの制作・改善も承ります。ぜひお問合せ下さい。

無料相談はコチラ

wp2shell（CVE-2026-63030）とは何か

wp2shellは、WordPressコアに存在する2つの脆弱性（CVE-2026-63030とCVE-2026-60137）を組み合わせた攻撃手法の通称です。REST APIのバッチ処理に関する不備と、データベース操作に関わるSQLインジェクションの脆弱性を連鎖させることで、攻撃者はログインすらせずに管理者権限のアカウントを作成できてしまいます。

特に注意したいのは次の3点です。

• プラグイン不要：デフォルト構成のWordPressだけで攻撃が成立する 
• ログイン不要：匿名の第三者が外部から直接攻撃できる 
• 操作不要：サイト運営者側の「うっかりクリック」のような要因が一切いらない 

多くのWordPress脆弱性は追加インストールしたプラグインやテーマに起因しますが、今回はWordPress本体（コア）の問題である点が、影響範囲の広さにつながっています。

対象となるバージョン

系統	影響を受けるバージョン	修正版
7.0系	7.0.0〜7.0.1	7.0.2以降
6.9系	6.9.0〜6.9.4	6.9.5以降
6.8系（SQLi単体）	6.8.0〜6.8.5	6.8.6以降

今すぐできる3ステップのセルフチェック 

ステップ1：現在のバージョンを確認する 

管理画面（ダッシュボード）にログインし、左メニューの「ダッシュボード」→「更新」を開くと、現在のWordPressバージョンが表示されます。上記の対象バージョン表に該当する場合は、次のステップに進む前にまず更新が必要です。 

管理画面にログインできない、動作が異常に重い、見覚えのないエラーが出るといった場合は、それ自体が侵害のサインである可能性があるため注意してください。 

ステップ2：更新が実際に反映されているか確認する 

自動更新の設定になっているサイトでも、サーバー環境やキャッシュ設定によって更新が正しく反映されていないケースがあります。「更新」画面で改めて最新版が適用済みになっているかを確認し、反映されていなければ手動で「今すぐ更新」を実行してください。 

更新後は、念のためブラウザのキャッシュをクリアしたうえで再度バージョン表示を確認すると確実です。 

ステップ3：不審な痕跡がないか確認する 

wp2shellは悪用されると、攻撃者側で新しい管理者アカウントが作成されることがあります。以下を確認してください。 

• 「ユーザー」一覧に、身に覚えのない管理者権限のアカウントが存在しないか 
• 「プラグイン」一覧に、インストールした記憶のないプラグインが追加されていないか 
• サーバーのアクセスログに、/wp-json/batch/v1 への大量の不審なリクエストが残っていないか 
• サイトのファイル一覧（FTPやファイルマネージャー）に、見覚えのないPHPファイルが追加されていないか 

これらに一つでも心当たりがある場合、パッチを適用しただけでは不十分です。侵入されたあとに設置されたバックドアが残っている可能性があるため、次のセクションを参考にしてください。 

セルフチェックだけでは不安が残るケース

セルフチェックはあくまで「今わかる範囲」の確認にすぎません。以下のようなケースでは、自分だけでの判断に限界があります。 

• サーバーログを見ても、どのリクエストが攻撃なのか判断がつかない 
• 更新はしたが、すでに侵入されていたかどうかまでは分からない 
• 複数のサイトを運営していて、一つひとつ手動確認する時間が取れない 
• そもそもアクセスログの見方や管理画面の構造に詳しくない 

wp2shellのように「公表から数時間〜数日で実際の攻撃が始まる」タイプの脆弱性は、後手に回るほど被害の特定と復旧が難しくなります。バックドアが仕込まれた状態で放置すると、パッチを当てても再侵入されるケースも珍しくありません。 

専門業者への相談を検討すべきサイン

次のいずれかに当てはまる場合は、自己対応にこだわらず専門業者への相談を検討することをおすすめします。 

• セルフチェックで不審なアカウントやファイルが見つかった 
• 更新作業や復旧作業に割ける時間・知識に不安がある 
• サイトがビジネスの主要な窓口であり、停止や情報漏えいが許容できない 
• 過去に一度でも改ざんやスパム挿入などの被害を受けたことがある 

WordPressの運用は「動いている間は気にしない」となりがちですが、今回のような緊急性の高い脆弱性が出るたびに自分で調べて対応するのは、現実的にはかなりの負担です。日常的な監視・即時のパッチ適用・万一の際の調査復旧までを任せられる専門業者とつながっておくことは、いざという時の安心材料になります。 

まとめ

• wp2shell（CVE-2026-63030）はプラグイン不要・ログイン不要で悪用される、WordPressコアの重大な脆弱性 
• 対象バージョンなら、まずバージョン確認→更新反映確認→侵害痕跡確認の3ステップを実施 
• 不審な痕跡がある場合や、継続的な監視体制に不安がある場合は専門業者への相談を検討 

セルフチェックは今すぐ無料でできる第一歩です。少しでも不安を感じた方は、この機会に信頼できるパートナーとつながっておくことをおすすめします。 

適切な管理があることで、安心して運用することが可能になります。レリゴのWITH YOU制作では、WordPressの運用なども承っております。ぜひ気軽にご相談ください。

レリゴでの事例