WordPressが狙われる理由は「本体」じゃない——2026年のwp2shellとプラグイン脆弱性の現在地

「WordPressは本体を最新にしていれば大丈夫」。2026年は、その前提が崩れた年になりました。7月に公表された脆弱性は、プラグインを1つも入れていない「素の」WordPressで成立したからです。今日は、何が起きたのか、なぜ今も狙われ続けるのか、そして今日5分でできることを整理します。

2026年7月、「素のWordPress」が外から破られた

2026年7月、WordPress本体の2つの脆弱性を組み合わせた攻撃手法「wp2shell」が公表されました。CVE-2026-63030（REST APIのバッチ処理）とCVE-2026-60137（SQLインジェクション）の連鎖で、深刻度はCVSS 9.8。ログインしていない外部の攻撃者が、遠隔からコードを実行できる状態でした。

影響するバージョンは6.9.0〜6.9.4と7.0.0〜7.0.1（SQLインジェクション単体では6.8.0〜6.8.5も）。修正版7.0.2（6.9系は6.9.5、6.8系は6.8.6）は2026年7月17日に公開され、同じ日にCloudflareがWAFのルールを有効化、エックスサーバーも7月19日に、攻撃経路になるREST APIのバッチ処理への通信を遮断しています。

ここで覚えておきたいのは、こちらが何もしなくても、公表と同時に世界中の攻撃者が一斉に試すという点です。修正版が出た日は「終わりの日」ではなく「攻撃が始まる日」でもあります。更新の予定を先延ばしにするほど、その間は狙われ続けます。

数字が示す本当の弱点は「プラグイン」にある

2025年にWordPressのエコシステムで報告された新規脆弱性は11,334件（前年比+42%）。そのうち91%がプラグイン、テーマが9%、本体（コア）はわずか6件でした（Patchstack「State of WordPress Security in 2026」2026年2月25日）。

つまり、本体を最新に保つことは必要ですが、それだけでは足りません。実際に穴が開くのは、入れた覚えのあるプラグインのほうです。しかも、使っていないプラグインも、更新が止まったプラグインも、攻撃の対象として残ります。

破られたあとに起きること

侵入されたあとの流れは、2026年1月のWeb担当者フォーラムのセッション報道で具体的に紹介されています。

  1. 管理画面に侵入し、コードを挿入するプラグインを設置。訪問者を不正サイトや不正広告へ誘導する
  2. 「ShadowCaptcha」と呼ばれる手口で、改ざんされたサイトの訪問者に偽のCAPTCHAを見せ、ファイルを実行させてマルウェアに感染させる
  3. バックドアで管理者権限の隠しユーザーを自動作成する（消しても再生成される）
  4. mu-pluginsフォルダにマルウェアを置く（管理画面の一覧に出ないため、検知が遅れる）
  5. 正規のファイルに似せた偽装ファイルを紛れ込ませる

自分のサイトが「加害者の入口」になる、というのがこの手口の怖いところです。訪問者に迷惑がかかり、検索エンジンからの評価も落ちます。

今日5分でやること：プラグインを1つだけ整理する

プラグインの一覧を開いて、次の3つのどれかに当たるものを1つだけ選び、更新するか削除してください。

  • 最終更新が1年以上前のもの
  • 使っていないもの
  • インストール数が極端に少ないもの

全部やろうとすると終わりません。5分で1つ、を習慣にするほうが、まとめて3時間より効きます。

数字を読むときの注意

攻撃の何割がwp2shell経由だったかは、公表された数値がありません。また、被害件数と攻撃の検知件数は別物です。検知件数が増えていても、被害に遭った会社の数が同じだけ増えているわけではありません。この記事では、公表されている範囲の数字だけを扱っています。

明日は、その入口に付いている「鍵」の話です。パスワードは破られる前提で、2段階認証（MFA）を4か所に——画面名つきでお伝えします。

出典