WP2Shellとは？WordPress本体を狙った脆弱性の脅威と今すぐ行うべき緊急対策

WordPressの脆弱性というと、「インストールしているプラグインやテーマに問題が見つかるケース」を思い浮かべる方が多いかもしれません。

実際、日頃公表されるセキュリティ情報の多くは特定のプラグインやテーマに関するものです。しかし、WordPress本体そのものに存在する重大な脆弱性を組み合わせた攻撃手法「WP2Shell」が確認され、世界中で大きな波紋を呼びました。

WP2Shellは、認証されていない外部の攻撃者が管理者権限を不正に取得し、サイトを完全に掌握（WebShellの設置やデータ窃取、改ざん）できる極めて危険な攻撃です。さらに、セキュリティ修正版が公開された直後から大規模な無差別攻撃が観測された点でも、迅速な対応の重要性を浮き彫りにしました。

本記事では、Wordfenceの技術レポート等の情報をもとに、WP2Shellの仕組み・脅威と影響範囲を整理し、自社サイトを守るために「今すぐ読者が行うべき3つの緊急対策」を分かりやすく解説します。

WP2Shellとは？攻撃の仕組みと深刻な脅威

WP2Shellとは、WordPress本体に存在していた2つの脆弱性を連鎖（チェーン）させ、ログインしていない攻撃者がリモートから管理者アカウントを作成・奪取できるようにする攻撃手法です。

2つの脆弱性の連鎖による管理者権限の奪取

WP2Shellで悪用されるのは、WordPress本体に存在した以下の2つの脆弱性です。

• SQLインジェクション脆弱性（CVE-2026-60137）：データベースに対する不正なクエリ実行を可能にする脆弱性。
• REST APIのバッチリクエスト処理の不備（CVE-2026-63030）：複数のAPIリクエストを一括処理するエンドポイント（/wp-json/batch/v1）における処理の脆弱性。

単体でも危険な脆弱性ですが、攻撃者はこれらを組み合わせることで、WordPressの認証ガードを迂回して直接データベースへアクセスし、任意の管理者ユーザーを作成します。

管理者権限を奪われると何が起きるのか

管理者権限（Administrator）を攻撃者に奪取された場合、サイトは実質的に攻撃者の完全な支配下に置かれます。具体的には、以下のような致命的な被害が発生します。

• 悪意あるプラグイン・テーマのアップロード（WebShell設置）：サーバー上で任意のコマンドを実行できるバックドアを仕込まれます。
• サイトの改ざん・不正リダイレクト：訪問者を詐欺サイトや不正広告へ強制転送させられ、SEO評価の暴落やドメイン停止につながります。
• 個人情報・機密データの窃取：顧客リストや問い合わせデータ、データベース内の秘密鍵などが流出します。
• 不正なメール送信や攻撃の踏み台化：スパム配信サーバーや他サイトへの攻撃拠点として悪用されます。

プラグインではなくWordPress本体の脆弱性｜影響バージョンと攻撃動向

プラグインの脆弱性であれば、そのプラグインを停止・削除することで影響を回避できます。しかし、WP2ShellはすべてのWordPressサイトの基盤である「本体（コア）」の脆弱性です。

そのため、対象バージョンを使用しているサイトであれば、利用しているプラグインやテーマの種類にかかわらず攻撃を受ける危険性があります。

影響を受けるバージョンと修正版

WordPress公式セキュリティチームから提供されている修正版バージョンは以下の通りです。

• WordPress 6.8 ～ 6.8.5 ： 6.8.6 で修正
• WordPress 6.9 ～ 6.9.4 ： 6.9.5 で修正
• WordPress 7.0 ～ 7.0.1 ： 7.0.2 で修正

上記以前のバージョンを利用している場合は、直ちに最新バージョンへ更新する必要があります。

パッチ公開当日から1,100万件超の攻撃が観測

WP2Shellで最も警戒すべき点は、脆弱性情報の公開から実攻撃開始までの異常な速さです。

Wordfenceの観測データによると、修正版がリリースされた2026年7月17日の当日に早くも攻撃者による事前調査が確認され、翌7月18日には無差別な大量攻撃へ発展しました。WAF（Webアプリケーションファイアウォール）によって遮断された攻撃件数は、短期間で1,100万件以上に達しています。

幸いにも、今回はWordPressセキュリティチームによる自動バックポート配信や主要ホスティング事業者との連携が迅速に行われたため、大規模な侵害被害の急増は防がれました。しかし、「脆弱性情報が出てから数日後にゆっくり対応する」という従来の運用では間に合わないことが実証された事例といえます。

今すぐ行うべき3つの緊急セキュリティ対策

WP2Shellのような本体の重大な脆弱性からサイトを守るため、読者が今すぐ確認・実行すべき3つのアクションを整理しました。

1. WordPress本体・全プラグインの最新版への即時更新

最も基本的かつ強力な防御は、WordPress本体および全プラグイン・テーマを最新版へアップデートすることです。

• 管理画面からの更新確認：管理画面の「ダッシュボード」→「更新」を開き、本体・プラグイン・テーマに保留中の更新がないか確認します。
• マイナー自動更新の有効化：WordPressのセキュリティ修正版（マイナーアップデート）は、自動適用を有効にしておくことが推奨されます。
• 更新前のバックアップ：万が一の互換性トラブルに備え、事前にバックアップを取得しておくと安心です。手順の詳細は「WordPress バックアップと復元の方法」をご確認ください。

2. 不正な管理者アカウント・ファイル改ざんの有無の確認

既に対象バージョンで運用していた期間がある場合、パッチ適用前に攻撃を受けていないかサイトの安全性を点検します。

• 不審なユーザーの確認：管理画面の「ユーザー」→「ユーザー一覧」で、心当たりのない「管理者」アカウントが作成されていないかチェックします。実際の攻撃では wpenginebot（メールアドレス：wpenginebot@wpengine.com）などの名称が悪用された事例が報告されています。
• サーバーログの調査：アクセスログを確認できる環境であれば、/wp-json/batch/v1 に対する異常なリクエストや、身に覚えのないIPからの管理者ログイン履歴がないか調査します。
• ファイルの改ざん・不審なPHPファイルの検知：wp-content/uploads/ やテーマディレクトリ配下に、見慣れない .php ファイル（WebShell）が設置されていないかスキャンします。万が一ログインできない場合の復旧フローは「WordPressにログインできないときの完全ガイド」をご参照ください。

※攻撃者は管理者権限を得た後、侵入証跡となるログやユーザーを消去してバックドアのみを残すケースもあります。目視だけで完全に安心せず、定期的なセキュリティスキャンを併用しましょう。

3. WAF・セキュリティプラグインの導入による多層防御

パッチ公開前のゼロデイ攻撃や、アップデートまでの空白時間を防御するためには、WAF（Web Application Firewall）とセキュリティプラグインの導入が不可欠です。

• WAFの常時稼働：レンタルサーバーの標準WAF機能やCloudflare、Wordfence等のWAFを有効化しておくことで、今回のWP2Shell攻撃のように不正なSQLクエリやAPIバッチ呼び出しをネットワーク層で自動遮断できます。
• ログイン防御と2要素認証（2FA）：管理者パスワードの強化に加え、二要素認証やログイン試行回数制限（Rate Limiting）を設けます。
• セキュリティ対策の総合点検：総合的な対策手順は「WordPressセキュリティ対策 完全ガイド」や「WordPressセキュリティ診断ツールおすすめ比較」で詳しく解説しています。

手動更新の限界と「素早く安全に更新できる仕組みづくり」

WordPressを運用している方の多くは、「月に1回管理画面を開いて更新する」といった定期手動更新を行っています。しかし、WP2Shellのように修正版の公開当日から攻撃が始まる現代の脅威環境では、数日〜数週間のタイムラグが致命傷になり得ます。

一方で、「すべてを無条件に自動更新すると画面が崩れたりプラグインが競合したりして怖い」という不安も事実です。重要なのは、更新を恐れて放置することではなく、「異常が起きても即座に検知・復旧できる体制を作った上で、セキュリティ更新を素早く適用する」ことです。

• WordPress本体のセキュリティ修正（マイナーアップデート）を自動適用する
• 更新実行時に管理者宛てにメール等の通知が飛ぶように設定する
• 更新後にサイト表示や主要機能が正常かスモークテストを行う
• 日次・週次の自動バックアップを外部ストレージに世代管理する
• 万が一脆弱性が発表された場合の初動手順を決めておく（参考：WordPressに脆弱性が見つかったら？慌てないための正しい対応）
• 運用全体のルール化を進める（参考：WordPress運用のベストプラクティス）
• 自社での迅速な更新・監視が難しい場合は専門の保守サービスを検討する（参考：WordPress監視・保守代行サービスの選び方）

まとめ：自社サイトの安全性を定期的に診断してリスクを最小化しよう

WP2Shellは、WordPress本体を標的にした重大な脅威であり、攻撃の高速化が進むWebセキュリティの現実を浮き彫りにしました。

脆弱性を100%ゼロにすることは困難ですが、「最新版への迅速なアップデート」「不審なアカウントや改ざんの早期検知」「WAF・多層防御の整備」を徹底することで、攻撃リスクを最小限に抑えることができます。

まずは、自社のWordPressサイトが現在安全な状態にあるか、設定に不備や見落としがないかを確認することから始めましょう。

参考：WP2Shell WordPress Exploit Technical Analysis and Real Attack Data（Wordfence）