wp2shellとは？WordPress本体の脆弱性とphp2shellとのちがい・確認方法

こんにちは、めえです！

2026年10月に PHP の脆弱性「php2shell」のニュースが流れてから、こんな声を見かけるようになりました。

  • 「wp2shell って前にも聞いたけど、同じもの？」
  • 「WordPress を更新したから、もう大丈夫だよね？」

名前がそっくりなので、混ざってしまうのも無理はないです。僕も最初は一瞬「あれ、同じ話？」と思いました。

先に結論を書くと、こうです。

wp2shellphp2shell
どこの弱点？WordPress 本体PHP（WordPress を動かしているプログラム言語）
いつ？2026年7月2026年10月
直し方WordPress の更新（7.0.2 以降など）PHP の更新（サーバー会社が対応）

つまり、どちらか一方の対策をしても、もう一方は直りません。

この記事では、7月の wp2shell がどんなものだったかをざっくり振り返って、php2shell とのちがいと、自分のブログが大丈夫か確認する方法をまとめます。

※この記事は 2026年10月23日時点の情報です。

wp2shellとは？2026年7月に見つかったWordPress本体の弱点

一言でいうと「ログインしなくても、サーバーに命令を出せるおそれがあった」弱点

wp2shell は、WordPress 本体にあった2つの弱点を組み合わせたときの呼び名です。正式には次の番号が付いています。

番号どんな弱点か（ざっくり）
CVE-2026-63030外部からまとめて命令を送れる仕組み（REST API の「batch」）の処理に問題があった
CVE-2026-60137データベースへの問い合わせに、外から余計な命令を混ぜられる（SQL インジェクション）

1つずつでも問題ですが、2つを組み合わせると、ログインなしでサーバー上で好きなプログラムを動かせるおそれがある、というのが wp2shell です。

プラグインやテーマではなく WordPress 本体の弱点なので、「プラグインをほとんど入れていないから安心」とは言えなかったのがポイントです。

影響を受けたバージョンと修正版

WordPress のバージョン影響修正版
7.0.0〜7.0.1wp2shell の対象7.0.2 以降
6.9.0〜6.9.4wp2shell の対象6.9.5 以降
6.8.0〜6.8.5SQL インジェクション（CVE-2026-60137）だけ対象6.8.6 以降
6.8 より前影響なしとされている—

修正版の 7.0.2 などは、2026年7月17日に公開されました。WordPress の運営側は、影響のあるサイトに自動更新で修正版を強制的に配る対応もしています。

ただし IPA（情報処理推進機構）は、設定や環境によっては自動更新が効いていない・失敗している可能性があるとして、管理画面でバージョンを確認するよう呼びかけています。

実際に悪用された？

こちらは悪用が確認されています。

  • 米国の CISA（サイバーセキュリティの政府機関）が、7月21日（現地時間）に「悪用が確認された脆弱性の一覧」に追加
  • セキュリティ企業の Wiz は、悪意あるプラグインを入れられて裏口を作られた、管理者のユーザー名やメールアドレスを集められた、といった例を報告

なお、深刻度の点数（CVSS）は情報源によって大きく違うので、この記事では点数は載せません。「点数が低めだから大丈夫」ではなく、「実際に悪用されたもの」と考えておくのが安全です。

wp2shellとphp2shellのちがい

改めて、2つを並べてみます。

wp2shellphp2shell
どこの弱点？WordPress 本体PHP 本体
番号CVE-2026-63030・CVE-2026-60137CVE-2026-109618・CVE-2026-109619
公表2026年7月2026年10月
影響する人WordPress 6.9〜7.0.1 を使っている人PHP で動くサイト全般（WordPress 以外も）
直し方WordPress を修正版に更新PHP を修正版に更新
誰が直す？基本は自分（自動更新が効いていれば勝手に直る）レンタルサーバーならサーバー会社
利用者がやることWordPress のバージョンを確認するお知らせを確認し、PHP のバージョンを確認する

php2shell の記事で使ったレストランのたとえで言うと、

  • php2shell：厨房の料理人（PHP）の弱点。どんなレシピを使っていても危ない
  • wp2shell：レシピ（WordPress）の書き方の弱点。料理人は悪くないけど、レシピどおりに作ると危ない

というイメージです。

だから、WordPress を最新にしても php2shell は直らないし、PHP を新しくしても wp2shell は直りません。両方とも確認が必要です。

php2shell の詳しい内容はこちらにまとめています。
→ php2shellとは？PHP脆弱性の影響とWordPressの対策4つを図解

自分のブログは大丈夫？確認する方法3つ

① WordPress のバージョンを確認する

いちばん大事なのはこれです。

  1. WordPress の管理画面で「ダッシュボード」→「更新」を開く
  2. 「現在の WordPress のバージョン」を見る

wp2shell の対象から外れていればひとまず安心ですが、その後もセキュリティの修正が続いています。2026年10月23日時点の最新は 7.1.3（10月6日公開）です。

WordPress の公式サイトでは、安全に使えるのは 7.1 系の最新版だけと書かれているので、ここまで上げておくのがおすすめです。

今のバージョンやること
7.1.3OK
7.0.2〜7.1.2wp2shell は直っている。最新の 7.1.3 に更新しておく
6.9.0〜6.9.4、7.0.0〜7.0.1wp2shell が直っていない。すぐ更新して、③の痕跡チェックもする

更新する前は、念のためバックアップを取っておきましょう。

② 自動更新が止まっていないか確認する

「自動更新にしているはずなのに、古いままだった」というケースがあります。よくある原因はこのあたりです。

原因確認するところ
更新を止めるプラグインを入れている「プラグイン」に、更新を管理・停止するものがないか
設定ファイルで自動更新を止めている`wp-config.php` に `AUTOMATIC_UPDATER_DISABLED` や `WP_AUTO_UPDATE_CORE` の行がないか（分からなければ触らない）
制作会社・知人に作ってもらって、そのまま誰が更新する担当なのか確認する

「ダッシュボード」→「更新」の画面に、自動更新が有効かどうかが表示されています。まずはそこを見てみましょう。

③ 入られた痕跡がないか確認する

wp2shell は実際に悪用されたので、7月〜8月に古いバージョンのままだった人は、痕跡のチェックもしておくと安心です。Wiz の報告にあったように、

  • 見覚えのない管理者ユーザーが増えていないか
  • 入れた覚えのないプラグインがないか

は、管理画面からすぐ見られます。チェックのやり方は、こちらに5つにまとめました。
→ 【内部リンク：⑤ WordPressブログが乗っ取られていないか確認する方法】

サーバー会社はどう対応した？

wp2shell は「WordPress 本体」の弱点なので、本来は利用者が WordPress を更新して直すものです。ただ、サーバー会社が先回りして守ってくれた例もあります。

エックスサーバー：攻撃の入口を止めて、WordPress を更新

エックスサーバーは、公式のお知らせで次の対応を発表しています。

日付対応
7月19日 6:30ごろ攻撃の入口になる REST API の batch（`/wp-json/batch/v1`）への通信を、サーバー側で遮断
8月6日影響のあるバージョンを使っているドメインを除いて、遮断を解除
7月31日ごろ〜8月25日影響のあるバージョンを使っていた人の WordPress を、順次自動で更新（メールで案内）
8月27日不審な変更やアクセスの痕跡を確認する手順を動画で公開

それでもエックスサーバーは、「遮断は一時的な対策。根本的な対策は WordPress 本体の更新」としています。

エックスサーバーの php2shell の対応は、こちらにまとめました。
→ 【内部リンク：② エックスサーバーのphp2shell対応まとめ】

ConoHa WING

ConoHa WING の wp2shell への対応は、公式のお知らせを探しましたが、2026年10月23日時点では見つけられませんでした。

ConoHa WING では、WordPress の更新は基本的に利用者が行うものなので、自分で管理画面からバージョンを確認するのが確実です。

ConoHa WING の php2shell の対応はこちらです。
→ 【内部リンク：① ConoHa WINGのphp2shell対応まとめ】

よくある質問

Q. WordPress を最新にしたら、php2shell も大丈夫？

いいえ。php2shell は PHP の弱点なので、WordPress を更新しても直りません。レンタルサーバーなら、サーバー会社が PHP に修正を当てています。利用者は、お知らせの確認と、PHP のバージョンが古すぎないか（8.1 以前なら 8.3 以上へ）を見ておきましょう。
→ 【内部リンク：③ WordPressのPHPバージョンを確認・変更する方法】

Q. 自動更新にしていれば、何もしなくていい？

基本は大丈夫ですが、一度は自分の目でバージョンを確認してください。IPA も、自動更新が効いていない・失敗している可能性があるとして、管理画面での確認を呼びかけています。

Q. 6.8 以前の古いバージョンなら、wp2shell の影響はない？

6.8 系も SQL インジェクションの弱点（CVE-2026-60137）は対象で、6.8.6 で直っています。それ以前のバージョンは wp2shell の対象外とされていますが、ほかの弱点の修正を受け取れていないので安全とは言えません。最新版に上げましょう。

まとめ：WordPressとPHP、両方のバージョンを見ておこう

  • wp2shell は 2026年7月の WordPress 本体の弱点。WordPress を 7.0.2 以降（6.9 系は 6.9.5 以降）に更新すれば直る
  • php2shell は 2026年10月の PHPの弱点。PHP の更新が必要で、レンタルサーバーならサーバー会社が対応
  • 名前は似ていても別物。片方を直しても、もう片方は直らない
  • やることは、WordPress のバージョン確認（最新は 7.1.3）、自動更新が止まっていないかの確認、気になれば痕跡のチェック

ニュースを見て不安になったら、まずは「ダッシュボード」→「更新」を開いて、バージョンを1回見てみてください。それだけで、だいぶ安心できると思います！

サーバー選びでセキュリティ面も比べたい人はこちら。
→ ConoHa WINGとエックスサーバー、どっち？契約者が料金・機能を比較

関連記事

出典（2026年10月23日 確認）

コメント

タイトルとURLをコピーしました