WordPress Security — Fukuoka, Japan
WordPressの緊急セキュリティ確認 — 乗っ取りが心配なとき、まず15分でやること
2026年7月、WordPress本体に深刻な脆弱性が公表され、実際の攻撃も確認されています。「自分のサイトは大丈夫か」を、専門知識がなくても確認できる手順にまとめました。福岡のソフトウェア開発会社・株式会社凛彩テックがお届けします。
① 何が起きているか(事実の整理)
2026年7月17日、WordPress本体の脆弱性2件(CVE-2026-63030・CVE-2026-60137、通称「wp2shell」)を修正したバージョン 6.9.5 / 7.0.2 が公開されました。REST APIのバッチ処理エンドポイント(/wp-json/batch/v1)のルート混同とSQLインジェクションを組み合わせることで、ログイン情報がなくても外部からサーバー上でコードを実行できる(未認証RCE)というもので、標準的な構成のままのサイトも対象です。
- 影響を受けるバージョン:6.9.0〜6.9.4 および 7.0.0〜7.0.1
- 修正済みバージョン:6.9.5 / 7.0.2(2026年7月17日公開)
- 2026年7月21日、米国CISAの「悪用が確認された脆弱性カタログ(KEV)」に2件とも追加されました。つまり、理論上の危険ではなく、実際の攻撃で使われていることが公的に確認されています。
WordPress.orgは対象バージョンに対して強制的な自動更新を実施しています。ただし、自動更新を無効にしている場合や、構成を大きくカスタマイズしている場合には適用されていないことがあります。「自動で直っているはず」とは考えず、ご自身のサイトの実際のバージョンをご確認ください。
② あなたのサイトは対象か — 15分の自己診断チェックリスト
以下は、管理画面に入れる方なら特別な知識なしで確認できる項目です。異常の「証拠探し」ではなく、「安全と言い切れるか」の切り分けが目的です。
1. WordPressのバージョンを確認する(約3分)
管理画面にログインし、「ダッシュボード → 更新」でバージョンを確認します。6.9.5 または 7.0.2 以上であれば本体は修正済みです。6.9.0〜6.9.4 / 7.0.0〜7.0.1 のままなら、今すぐ更新してください。
2. 自動更新が有効かを確認する(約2分)
同じ「更新」画面で、自動更新の設定状態を確認します。無効になっている場合、今回のような緊急修正が届いていなかった可能性があります。有効化を推奨します。
3. 見覚えのない管理者アカウント・プラグインがないか(約4分)
「ユーザー」一覧に、心当たりのない管理者権限のアカウントがないか。「プラグイン」一覧に、インストールした覚えのないもの、直近で勝手に有効化されたものがないか。1つでもあれば、侵害の可能性を疑ってください。
4. 直近のファイル変更日時を確認する(約4分)
FTPやサーバーのファイルマネージャーに入れる方は、wp-contentなどの更新日時を確認し、心当たりのない直近の変更がないかを見ます(入れない方は飛ばして構いません)。
5. バックアップの有無と取得日を確認する(約2分)
万一の際に「戻れる地点」があるかどうかで、その後の対応は大きく変わります。バックアップの有無と、最後に取得した日付を確認してください。
正直な注意書き:このチェックで異常が見つからなくても、侵害がないことの証明にはなりません。逆に、1つでも異常があれば、更新だけで済ませず専門家への相談をおすすめします。
③ 自分で対応できない場合
実際には、次のような状況のご相談が少なくないと考えています。
- サイトを作った制作会社・管理会社と連絡が取れない、あるいは契約が終わっている
- 管理画面のログイン情報が分からない・引き継がれていない
- 更新しようとするとエラーが出る、テーマやプラグインが古くて更新が怖い
- チェックリストで不審なアカウントやファイルを見つけてしまったが、次に何をすべきか分からない
こうした場合、放置がいちばんリスクを大きくします。侵害が疑われる状態では、改ざんの拡大やサイト訪問者への影響につながる前に、現状の切り分けだけでも第三者に依頼する価値があります。
④ その場しのぎで終わらせないために — 継続管理のご案内
今回のような緊急対応は、「更新して終わり」にすると同じことが繰り返されます。本質的な問題は、サイトの面倒を継続的に見る担当者がいないことです。
株式会社凛彩テック(福岡)は、WordPressを含むWebサイト・サーバーの継続管理(月額保守)を提供しています。AIを活用した少人数・高効率の運営体制で、バージョン監視・セキュリティ更新・バックアップといった「地味だが止めてはいけない作業」を代行します。適格請求書(インボイス)の発行にも対応しています。
まずは現状の無料診断から。「チェックリストの途中で分からなくなった」という段階のご相談でも構いません。
フォームが使いにくい場合は [email protected] まで直接ご連絡ください。1営業日以内にご返信します。