【S#37】WordPressに重大な脆弱性「wp2shell」発覚。Xserver利用者は今すぐアップデートを

本記事は セキュリティ速報シリーズ第37回です。

2026年7月19日、WordPress本体に重大な脆弱性「wp2shell（CVE-2026-63030）」が公表されました。

この脆弱性は、第三者が任意のコードを実行できる可能性があり、最悪の場合はWebサイトの乗っ取りにつながる恐れがあります。

さらに、ログイン認証を必要とせず攻撃が成立する可能性があるため、影響は非常に大きいと考えられています。

影響を受けるWordPressのバージョン

今回公表された情報では、以下のバージョンが対象です。
WordPress 6.9.0 ～ 6.9.4
WordPress 7.0.0 ～ 7.0.1
WordPress 6.8.0 ～ 6.8.5（一部関連する脆弱性）

現在これらのバージョンを利用している場合は、できるだけ早くアップデートすることをおすすめします。

Xserverでは暫定対策を実施

Xserverでは、攻撃経路となるREST APIの一部機能（/wp-json/batch/v1）へのアクセスを遮断する対応を実施しています。

この対応により、現時点では攻撃リスクを低減していますが、これはあくまでも応急処置です。

根本的な対策は、WordPress本体を修正版へアップデートすることになります。
今すぐ確認したいこと

WordPressをご利用中の方は、まず管理画面で現在のバージョンを確認してください。

修正版は以下のとおりです。
6.9系：6.9.5以降
7.0系：7.0.2以降
6.8系：6.8.6以降
自動更新を有効にしている場合でも、実際に更新が完了しているか確認することをおすすめします。

アップデート前にはバックアップも

WordPress本体の更新前には、念のためバックアップを取得しておくと安心です。

保守契約をされている方はもちろん、個人サイトでもバックアップがあれば万一のトラブル時に復旧しやすくなります。

Bitより

今回の脆弱性は、WordPress本体に関する比較的大きなセキュリティ情報です。Bitでは、管理しているWordPressサイトについて順次アップデートと動作確認を進めています。

WordPressは世界中で利用されているCMSだからこそ、重大な脆弱性が公表された際には迅速な対応が重要になります。

WordPressをご利用の方は、できるだけ早めのアップデートをおすすめします。

※本記事は、当社が2026年7月に社内およびクライアント様へご案内したメール内容を基に、Web読者の皆さまにも有益な情報となるよう加筆・編集のうえ公開しています。

出典・参考