平素は格別のお引き立てを賜り、誠にありがとうございます。
2026年7月18日、WordPress公式チームより、WordPress本体に深刻なセキュリティ上の欠陥が存在することが発表されました。プラグインの導入有無にかかわらず、対象バージョンのWordPressを使用しているサイトすべてに関わる話のため、RevoTecからも改めてご案内いたします。
公表された脆弱性
今回公表されたのは、WordPressのREST API機能に起因する脆弱性（CVE-2026-63030、通称「wp2shell」）です。攻撃者はログインすることなく、外部から細工したリクエストを送るだけでサーバー上のコードを実行できてしまう可能性があります。これと併せて悪用されることが確認されているSQLインジェクションの脆弱性（CVE-2026-60137）も報告されています。
想定される被害
この脆弱性を悪用されると、Webサイトの内容を書き換えられたり、攻撃の踏み台となる不正なプログラム（いわゆるWebシェル）を設置されたりするおそれがあります。最悪の場合、サイトの管理権限そのものを奪われ、データベースに保存されている顧客情報や会員情報を盗み見られる・改ざんされるといった被害につながりかねません。ログイン権限を持たない第三者でも攻撃を仕掛けられる点が、今回の脆弱性の危険性を特に高めています。
影響を受けるバージョン
下記のバージョン系列を使用中のWordPressサイトが対象です。
- 6.8系:6.8.0 ～ 6.8.5（SQLインジェクションの脆弱性が関係するバージョン）
- 6.9系:6.9.0 ～ 6.9.4
- 7.0系:7.0.0 ～ 7.0.1
対応方法
心当たりのあるバージョンをお使いの場合は、それぞれ次のバージョン以降へアップデートすることで解消されます。
- 6.8系をお使いの方 → 6.8.6以降
- 6.9系をお使いの方 → 6.9.5以降
- 7.0系をお使いの方 → 7.0.2以降
WordPressの自動更新機能が有効になっていても、実際に反映されるまでにはタイムラグが生じることがあります。念のため、管理画面上でバージョン表示をご自身の目で確かめていただくことをおすすめします。あわせて、契約中のレンタルサーバー事業者からアクセス制限などの案内が出ていないかもご確認ください。
RevoTecからのご案内
「使用中のサイトが対象バージョンかどうか判断がつかない」「更新作業に割く時間や知識がない」という場合には、RevoTecまでご相談ください。バージョンの確認からアップデート作業、更新後の動作確認まで、まとめて代行いたします。
ご希望の際はお問い合わせフォームからお問い合わせください。
今後とも株式会社RevoTecをよろしくお願い申し上げます。
［参考文献］：
WordPress 7.0.2リリース. WordPress.org 日本語, 2026-07-18, （閲覧日 2026-07-19）