WordPressをアップデートしないとどうなる？「wp2shell」脆弱性をわかりやすく解説

2026年7月、WordPressに重大な脆弱性が見つかり、WordPress公式から緊急アップデートが公開されました。

エックスサーバーも、攻撃に利用される可能性がある通信経路を一時的に遮断する対応を取っています。

ですが、次のような疑問を持つ人も多いのではないでしょうか。

「脆弱性って、そもそも何？」

「サーバー会社が対策してくれたなら、自分でアップデートしなくてもいいのでは？」

「プラグインをあまり入れていないから、自分のサイトは関係ないのでは？」

WordPressでサイトを運営している方はもちろん、制作会社に管理を任せている方にとっても、今回の問題は他人事ではありません。

この記事では、脆弱性とは何なのか、なぜWordPressのアップデートが必要なのかを、できるだけ専門用語を使わずに説明します。

この記事でわかること｜読了目安：約5分

• 「脆弱性」とは何かを、お店の裏口にたとえて理解できます
• 今回の問題が、プラグインではなくWordPress本体にある理由
• サーバー会社が通信を遮断しても、アップデートが必要な理由
• 自分のサイトが対象か確認する方法と、必要な対処手順

「脆弱性」とは、鍵のかかっていない裏口のようなもの

脆弱性（ぜいじゃくせい）という言葉は難しく聞こえますが、意味はそれほど複雑ではありません。

Webサイトを、一軒のお店だと考えてみてください。

お店には、お客さんが入る正面玄関と、スタッフだけが使うバックヤードがあります。通常、バックヤードには鍵がかかっており、IDとパスワードを持つ人しか入れません。

ところが、建物の設計や工事にミスがあり、「鍵を持っていなくても入れる別の通路」ができてしまうことがあります。

Webサイトにおける「脆弱性」とは、ドアと鍵が無い入口状態です。ソフトウェアの設計やプログラムに見つかった、攻撃に利用される可能性のある弱点や不具合を指します。

脆弱性そのものがウイルスというわけではありません。ただ、悪意のある人物にその弱点を突かれると、サイトの内容を書き換えられたり、保存している情報を盗まれたり、そのサイトを別のサイトへの攻撃に利用されたりするおそれがあります。

今回の脆弱性は、プラグインではなくWordPress本体に見つかった

WordPressの脆弱性と聞くと、「危険なプラグインを入れていたのでは？」と思う方もいるかもしれません。

しかしながら、今回公表された「wp2shell」は、WordPress本体の機能に見つかった脆弱性です。

ログインや認証を必要とせず、使用しているプラグインやテーマの有無にかかわらず、対象バージョンのWordPressを使用しているサイトが影響対象になります。

建物にたとえると、下記のような構造・関係です。

• WordPress本体：建物そのもの
• テーマ：建物の内装やデザイン
• プラグイン：後から追加した設備

今回見つかったのは、後から追加した設備ではなく、建物そのものにある弱点です。

なので、「プラグインをほとんど使っていないから大丈夫」「有名なテーマを使っているから問題ない」とは言えません。使用しているWordPress本体のバージョンを確認し、対象であればアップデートする必要があります。

攻撃されると、サイトに何が起きるのか

今回の「wp2shell」は、2つの脆弱性を組み合わせることで、ログインしていない第三者が外部からサーバー上で任意のコードを実行できるおそれがあります。

平たく言えば、攻撃者にWebサイトを乗っ取られる可能性があるということです。

具体的には、次のような被害が起きるおそれがあります。

• サイトの内容を勝手に書き換えられる
• データベースに保存された顧客情報や個人情報を盗まれる
• 不正な管理者アカウントやプログラムを仕込まれる
• サイトが、ほかのWebサイトへの攻撃の踏み台に使われる
• 訪問者を偽サイトへ誘導したり、悪意のあるプログラムを配信したりするサイトに改変される

「自分のサイトは小さいから狙われない」と思う方もいるかもしれません。

しかし、こうした攻撃の多くは、攻撃者が特定の企業や個人を一件ずつ選んで行うとは限りません。

自動化されたプログラムを使ってインターネット上のWordPressサイトを探し、脆弱なバージョンが使用されていないかを機械的に調べる攻撃もあります。

そのため、有名なサイトかどうかにかかわらず、対象バージョンのWordPressを使用していれば、攻撃対象になり得ます。

米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年7月21日、今回の脆弱性「CVE-2026-63030」を、実際の悪用が確認された脆弱性の一覧に追加しました。

なんで単なる理論上の危険性ではなく、すでに実際の攻撃に利用されていることを意味します。

サーバー会社が対策したなら、アップデートは不要？

今回の脆弱性を受け、国内のレンタルサーバー各社も、利用者への注意喚起やアップデートの案内、暫定的なサーバー側対策を行っています。

対応内容はサーバー会社によって異なります。WordPressを最新バージョンへ更新するよう案内している会社もあれば、攻撃に利用される可能性がある通信をサーバー側で一時的に遮断している会社もあります。

たとえばエックスサーバーは2026年7月19日、今回の攻撃経路となるREST APIのバッチエンドポイント（/wp-json/batch/v1）への通信を遮断しました。

先ほどのお店のたとえで言えば、危険な裏口へ続く道の前に、サーバー会社がバリケードを置いてくれた状態です。

とはいえ、建物自体の壊れたドアが修理されたわけではありません。サーバー会社による通信遮断は、被害を防ぐための暫定的な措置です。根本的な解決には、WordPress本体を脆弱性が修正されたバージョンへアップデートする必要があります。

2つの対応の違いを整理すると、次のようになります。

• サーバー会社による通信遮断：裏口へ続く道にバリケードを置く応急処置
• WordPress本体のアップデート：壊れたドア自体を修理する根本対策

通信遮断によって、REST APIのバッチ処理機能を利用しているプラグインやテーマ、外部サービスとの連携機能、独自開発の機能などが、一時的に正常動作しなくなる可能性があります。

プラグインやテーマに今回の脆弱性があるという意味ではありません。今回の攻撃経路として悪用される可能性がある通信先をサーバー側で塞いだ結果、同じ通信先を正しく利用していた機能まで、一時的に利用できなくなっているということです。

利用しているサーバー会社が対策を行っていたとしても、それだけでWordPress本体の弱点が修正されるわけではありません。最終的には、自分のサイトでWordPressのバージョンを確認し、修正版へアップデートする必要があります。

対象バージョンの確認と対処手順

まず、現在使用しているWordPressが、今回の脆弱性の影響を受けるバージョンに該当していないか確認してください。

• WordPress 6.8.0〜6.8.5を使用中：6.8.6以降へアップデート
• WordPress 6.9.0〜6.9.4を使用中：6.9.5以降へアップデート
• WordPress 7.0.0〜7.0.1を使用中：7.0.2以降へアップデート

対処は、次の手順で進めましょう。

1. WordPressの管理画面にログインする
2. 「ダッシュボード」→「更新」を開き、現在のバージョンを確認する
3. サイトのファイルとデータベースのバックアップを取得する
4. WordPress本体を、脆弱性が修正されたバージョンへアップデートする

「自動更新を有効にしているから大丈夫」という場合も、実際にアップデートが完了しているかを管理画面で確認してください。自動更新を設定していても、何らかの理由で更新が完了していない可能性があります。

アップデート後は、トップページやお問い合わせフォーム、ログイン画面など、サイトの主要な機能が正常に動いているかも確認しましょう。

サイトの管理を制作会社や保守会社に任せている場合は、次のように問い合わせてください。

今回のWordPress脆弱性（wp2shell）へのアップデートは完了していますか？ 現在のWordPressのバージョンもあわせて教えてください。

自分で更新してよいか判断できない場合は、無理に操作せず、契約している制作会社や保守会社、レンタルサーバー会社のサポートへ確認してください。

まとめ

今回のWordPress脆弱性（wp2shell）のポイントを整理します。

• 脆弱性とは、Webサイトのプログラムに見つかった「攻撃に利用される可能性のある弱点」のこと
• 今回の問題は、特定のプラグインではなくWordPress本体に見つかった
• ログインや認証を必要とせず、プラグインやテーマの有無にかかわらず、対象バージョンを使用しているサイトが影響対象になる
• サーバー会社による通信遮断は応急処置であり、根本的な対策にはWordPress本体のアップデートが必要
• すでに実際の攻撃への悪用が確認されており、早急な対応が求められる

「サイトが今も普通に表示されているから大丈夫」とは限りません。見た目に異常がなくても、攻撃を受ける可能性はあります。

被害が発生してからでは、原因の調査やサイトの復旧、利用者への対応などに、多くの時間とコストがかかります。

まずは現在使用しているWordPressのバージョンを確認し、対象バージョンに該当する場合は、脆弱性が修正されたバージョンへ早めにアップデートしてください。

※本記事は2026年7月22日時点で公表されている情報をもとに作成しています。WordPress公式や、利用中のレンタルサーバー会社が発表する最新情報もあわせて確認してください。