WordPressの脆弱性「wp2shell」とは？読み方と、自分のサイトが大丈夫か確かめる3つの手順

旅館やレストラン、お店のホームページには、WordPress（ワードプレス）で作られたものがたくさんあります。

でも、

制作会社に作ってもらって、そのあとは誰も触っていない
「更新してください」という表示が出ているけど、怖くて押せない
そもそも管理画面のログイン方法が分からない

という状態のサイトも、実は少なくありません。

2026年7月、そんなWordPressに 「wp2shell」という、かなり深刻な脆弱性（ぜいじゃくせい：セキュリティの穴） が見つかりました。プラグインを何も入れていない、ごく普通のWordPressでも狙われるタイプです。

この記事では、わたしが自分のブログで実際に確認した手順をもとに、

wp2shellとは何か（読み方も）
攻撃されたら何が起きるのか
自分のWordPressが対象か確かめる方法
これからやっておきたい対策
エックスサーバー・さくらインターネットの対応

を、専門用語をなるべく使わずにまとめます。

Contents

先に結論：まずやることは3つ
wp2shellとは？
攻撃されると何が起きる？
自分のWordPressが対象か確認する方法
今後の対策
エックスサーバー・さくらインターネットの対応
まとめ
参考

先に結論：まずやることは3つ

やること	かかる時間の目安
① WordPressのバージョンを確認して、古ければ更新する	5〜10分
② ユーザー一覧に「知らない管理者」がいないか見る	2分
③ プラグイン一覧に「入れた覚えのないもの」がないか見る	2分

①だけで終わりにしないのがポイントです。理由は後で説明します。

wp2shellとは？

読み方は「ダブリューピー・ツー・シェル」

wp2shell は 「ダブリューピー・ツー・シェル」 と読むのが一般的です。

公式に読み方が決められているわけではありませんが、名前は次の3つでできています。

wp … WordPress の略
2 … 英語の「to（〜へ）」の言い換え
shell … シェル。サーバーを操作するための画面・仕組みのこと

つまり「WordPress から、サーバーを操作できる状態（シェル）までたどり着ける」という意味の名前です。名前のとおり、乗っ取りにつながるタイプの穴だということが分かります。

どんな脆弱性なのか

wp2shell は、WordPress本体に見つかった 2つの穴を組み合わせた攻撃 の通称です。

CVE-2026-63030 … 「REST API」というWordPressの通信の仕組みの不具合
CVE-2026-60137 … データベースに不正な命令を送り込める不具合（SQLインジェクション）

※「CVE-〇〇」は、世界共通で脆弱性につけられる管理番号です。覚える必要はありません。

この2つを組み合わせると、ログインしていない第三者が、外からサーバー上で好きなプログラムを動かせてしまいます。

深刻度は 10点満点中 9.8点（「緊急」レベル）と評価されています。2026年7月17日に修正版が公開されましたが、すぐに攻撃方法が出回り、実際の攻撃も確認されました。日本でも IPA（情報処理推進機構）が注意喚起を出しています。

「プラグインを入れていないから大丈夫」ではない

これまでのWordPressの事件は、追加機能（プラグイン）の穴が原因のことが多くありました。

wp2shell は WordPress本体の穴 です。プラグインやテーマが何であっても、対象のバージョンなら影響を受けます。

攻撃されると何が起きる？

wp2shell で攻撃されると、実際に次のようなことが確認されています。

サーバーに 「ウェブシェル」（外から遠隔操作するための裏口ファイル）を置かれる
身に覚えのない管理者アカウント を追加される

こうなると、サイトはほぼ乗っ取られた状態です。ここからは一般的に考えられる被害ですが、たとえば次のようなことが起こりえます。

ホームページの中身を書き換えられる
訪れたお客さまが、偽の予約ページや詐欺サイトに飛ばされる
お問い合わせフォームの内容など、サイトに保存されている情報を見られる
Googleの検索結果やブラウザで「危険なサイト」と表示され、お客さまが来なくなる

旅館やレストランのホームページは、お客さまが「予約しよう」「電話番号を調べよう」と思って訪れる場所です。そこが偽物に誘導されると、お店の信用にそのまま関わります。

怖いのは、更新しても「裏口」は残ることです。 攻撃された後でWordPressを最新にしても、置かれたウェブシェルや追加された管理者は消えません。だから「更新して終わり」ではなく、②③の確認まで必要なのです。

自分のWordPressが対象か確認する方法

ステップ1：バージョンを確認する

WordPressの管理画面にログインして、バージョンを確認します。次のどちらかで見られます。

「ダッシュボード」の「概要」の欄に「WordPress 〇.〇.〇」と書かれている
左メニューの「ダッシュボード」→「更新」を開く

確認したバージョンを、この表と見比べてください。

使っているバージョン	状態	やること
7.0.0〜7.0.1	危険（対象）	すぐ更新
6.9.0〜6.9.4	危険（対象）	すぐ更新
6.8.0〜6.8.5	2つの穴のうち1つが対象	更新
7.0.2以降／6.9.5以降／6.8.6以降	修正済み	ステップ2・3へ

「更新」画面に新しいバージョンが案内されていたら、更新しておきましょう。更新前にバックアップを取っておくと安心です（バックアップについては後の「今後の対策」で触れます）。

自動更新にしているから大丈夫？
WordPress.org は、対象のバージョンに自動更新で修正版を配ったとしています。ただ、サーバーの環境や設定によっては自動更新が止まっていたり、失敗していたりすることがあります。IPAもサーバー会社も「自動更新でも、管理画面で実際に更新されたか確認してください」と呼びかけています。

ステップ2：知らない管理者がいないか確認する

左メニューの「ユーザー」→「ユーザー一覧」を開き、上の「管理者」をクリックして絞り込みます。

自分や制作会社など、心当たりのある人以外の管理者がいないか を見てください。

ステップ3：入れた覚えのないプラグインがないか確認する

左メニューの「プラグイン」→「インストール済みプラグイン」を開き、入れた覚えのないもの、名前が不自然なもの がないかを見ます。

制作会社が入れたものは分からないことも多いので、気になるものは制作会社に確認してください。

わたしのブログの場合

わたしのブログ（このサイト）も WordPress です。確認したところ、

バージョンは 7.1.3（2026年10月時点の最新版。修正済み）
管理者は自分のアカウントだけ
プラグインも入れた覚えのあるものだけ

で、問題はありませんでした。

ステップ1〜3は、慣れていなくても10分ほどで終わります。

管理画面に入れない・ログイン方法が分からない場合

ホームページを作った 制作会社か、サーバーを契約している担当者に、まず連絡してください。 そのときは、

「WordPressの脆弱性 wp2shell の件で、バージョンが修正版（7.0.2以降など）になっているか確認してほしい。あわせて、知らない管理者やプラグインが増えていないかも見てほしい」

と伝えれば、話が通じるはずです。

おかしな点が見つかったら

知らない管理者や見覚えのないプラグインが見つかったら、すでに侵入されている可能性があります。 この場合、管理者を消すだけでは不十分なことが多いです。

制作会社や、WordPressの復旧を請け負う専門業者に相談する
契約しているサーバー会社の案内（不正アクセスの確認方法など）を確認する

自分だけで直そうとせず、早めに相談するのがおすすめです。

今後の対策

wp2shell に限らず、WordPressの穴は今後も見つかります。「次に何か起きたとき」のために、次のことをやっておくと安心です。

1. 自動更新を確認しておく

WordPress本体：「ダッシュボード」→「更新」で、自動更新が有効になっているか確認
プラグイン：「インストール済みプラグイン」の一覧で、「自動更新を有効化」にできます

ただし、自動更新で表示が崩れることもまれにあります。制作会社が作り込んだサイトの場合は、どこまで自動にするか相談して決めるのがよいでしょう。

2. 使っていないプラグイン・テーマは削除する

「停止」しているだけのプラグインも、ファイルはサーバーに残っています。使っていないものは削除しておくと、狙われる場所が減ります。

3. バックアップを取っておく

万が一のとき、元に戻せるかどうかで被害の大きさが変わります。サーバー会社の自動バックアップ機能や、バックアップ用のプラグインを使っておきましょう。

4. 管理者アカウントを整理する

辞めたスタッフや、昔の制作担当者のアカウントが残っていないか
パスワードは使い回していないか

を確認しておきましょう。

5. 「誰が更新するのか」を決めておく

一番大事なのはここかもしれません。

「制作会社がやってくれていると思っていた」「お店の誰かがやっていると思っていた」という状態が、更新が止まる一番の原因です。保守契約があるのか、ないなら誰が月に一度管理画面を見るのか、決めておきましょう。

エックスサーバー・さくらインターネットの対応

サーバー会社によって、対応はかなり違いました。

エックスサーバー

エックスサーバー（XServerビジネス、XServer for WordPress を含む）は、サーバー側でも対策を行っています。

2026年7月19日：攻撃に使われる通信（REST APIの一部）を、サーバー側で暫定的に遮断
7月31日頃〜8月25日：対象バージョンのWordPressを、エックスサーバー側で自動アップデート。8月25日以降、対象者にメールで個別に案内
不正アクセスがないか確認するための動画も公開

つまり、エックスサーバーを使っていれば、知らないうちに更新されている可能性が高いです。

ただし、エックスサーバー自身も 「管理画面で実際に更新が完了しているか確認してください」 と案内しています。また、まだ古いバージョンのサイトは通信の遮断が続いているため、一部の機能（外部サービスとの連携など）が動かなくなっていることがあります。更新後に遮断の解除を希望する場合は、サポートに問い合わせる形です。

エックスサーバーのサーバーパネルには「WordPressセキュリティ設定」があり、国外からの管理画面・REST APIへのアクセス制限や、ログイン試行回数の制限ができます。ただし、これは WordPressの更新の代わりにはなりません。 国内からの攻撃は防げないためです。

さくらインターネット（さくらのレンタルサーバ）

さくらインターネットは、2026年7月21日にお知らせを出し、

対象バージョン（7.0.0〜7.0.1、6.9.0〜6.9.4、6.8.0〜6.8.5）を使っている場合は最新版に更新すること
自動更新を有効にしていても、管理画面で更新状況を確認すること

を呼びかけています。

一方で、お知らせには、エックスサーバーのような サーバー側での遮断や自動アップデートについての記載はありません。 また、WordPress本体の脆弱性への対応はサポート対象外で、個別の環境の調査はしないとしています。

さくらのレンタルサーバを使っている場合は、自分で（または制作会社に頼んで）更新を確認する必要がある と考えておいたほうが安全です。

そのほかのサーバー会社

ほかのレンタルサーバーでも、多くの会社がお知らせを出しています。契約しているサーバー会社の「お知らせ」や「障害・メンテナンス情報」のページで、「wp2shell」や「WordPress 脆弱性」の案内がないか確認してみてください。

まとめ

wp2shell（ダブリューピー・ツー・シェル）は、2026年7月に見つかったWordPress本体の深刻な脆弱性
プラグインに関係なく、7.0.0〜7.0.1、6.9.0〜6.9.4 が対象（6.8.0〜6.8.5も一部対象）
まずは管理画面で バージョン確認 → 管理者一覧 → プラグイン一覧 の3つを確認
更新しても、すでに置かれた裏口は消えない。おかしな点があれば早めに専門家へ
エックスサーバーはサーバー側で自動更新まで対応。さくらは利用者自身での更新が前提

ホームページは、お客さまとお店をつなぐ大事な入口です。「作ったまま」になっていたら、この機会に一度、管理画面をのぞいてみてください。