【HPは“作って終わり”が一番危ない】世界数千万サイトを揺らす「wp2shell」──ホームページ乗っ取りを防ぐ5分点検リスト

「ホームページなんて、一度作ったらそのまま置いておけばいいでしょ」
「うちの会社のサイトを、わざわざハッカーが狙うわけがない」

――その考えが通用したのは、攻撃が“人の手作業”だった時代までです。いま起きている攻撃は、人間がサイトを選んで狙うのではなく、プログラムが世界中のサイトを機械的にスキャンして、穴のあるサイトを見つけ次第、自動で侵入します。つまり「うちは小さいから狙われない」は成立しません。“穴があるかどうか”だけが問われる時代です。

そして2026年夏、世界のホームページの約4割が使うWordPress本体に、「ログイン不要でサイトを乗っ取れる」緊急レベルの脆弱性チェーン、通称「wp2shell」が公表されました。すでに実際の攻撃が世界中で観測されており、日本国内でも大学などが相次いで注意喚起を出しています。本記事では、何が起きたのか、そして中小企業が今日5分でできる点検を、結論から整理します。

1. 何が起きたか──WordPress“本体”に、ログイン不要で乗っ取られる穴

今回の「wp2shell」は、プラグインやテーマではなく、WordPress本体（コア）の脆弱性です。2つの脆弱性（CVE-2026-63030／CVSS 9.8「致命的」と、CVE-2026-60137／CVSS 7.5）を組み合わせると、IDもパスワードも持たない攻撃者が、外部からサイトのサーバー上で任意のプログラムを実行できてしまいます。

対象は WordPress 6.9〜6.9.4 と 7.0〜7.0.1。修正版（6.9.5／7.0.2／6.8.6）は7月17日に公開済みです。ポイントは「プラグインを何も入れていない初期状態でも攻撃が成立する」こと。これまで「怪しいプラグインを入れなければ安全」という感覚だった方ほど、前提を改める必要があります。

2. 公開からわずか3日で悪用開始──「パッチが出た＝安全」ではない

修正版の公開が7月17日。そのわずか3日後の7月20日には、実際の攻撃が観測されました。米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）は7月21日に「悪用が確認された脆弱性カタログ（KEV）」に登録し、連邦政府機関に7月24日までの対応を命じています。

セキュリティ各社の観測では、公開された攻撃コードを使った大規模スキャンが続いており、侵入されたサイトには「ウェブシェル」と呼ばれる裏口が仕掛けられています。裏口を置かれると、本体をアップデートしても攻撃者の侵入経路は残り続けます。中小企業にとっての教訓は2つ。「修正版が出てから対応するまでの数日が勝負」であること、そして「更新が遅れたサイトは、更新後も“すでに入られていないか”の確認が必要」であることです。

3. 危ないのは“作りっぱなしHP”──中小企業の3つの盲点

WordPress.org は今回、影響バージョンのサイトに対して強制自動更新を実施しました。「なら放っておいても大丈夫では？」と思うかもしれませんが、実務では次の3パターンが取り残されます。

自動更新が止められているサイト──制作会社が表示崩れを避けるために自動更新をオフにしているケース。中小企業のHPでは非常によくある設定です。
保守契約がないサイト──数年前に作ったきりで、誰も管理画面に入っていないケース。
古い環境でアップデートできないサイト──古いPHPやサーバーのせいで、そもそも最新版に上げられないケース。

心当たりのある方は、「自動更新されているはず」ではなく、実際のバージョン番号を自分の目で確認してください。

4. 今日5分でできる点検──バージョン別「危険度と対処」早見表

管理画面（ダッシュボード）にログインし、「更新」画面で現在のバージョンを確認します。判定は以下の通りです。

現在のバージョン	危険度	今すぐやること
6.9〜6.9.4／7.0〜7.0.1	緊急（乗っ取りの恐れ）	直ちに 6.9.5／7.0.2 へ更新＋侵入痕跡の確認
6.8〜6.8.5	高（情報漏えいの恐れ）	6.8.6 以降へ更新（推奨は 7.0.2）
6.9.5／7.0.2／6.8.6 以降	対応済み	自動更新の設定と保守体制を確認
6.7以前の古いバージョン	高（別の既知の穴が多数）	環境ごと見直し・最新版へ移行を検討

あわせて、更新が遅れていたサイトでは「身に覚えのない管理者アカウントがないか」「見覚えのないファイルが増えていないか」を確認しましょう。判断がつかなければ、専門家に侵入痕跡の診断を依頼するのが確実です。

5. 「侵入されたら何を失うか」を数字で見る──他人事ではない被害の実態

IPAの「情報セキュリティ10大脅威 2026」では、ランサムウェア被害が組織向け脅威の1位。2025年の国内被害226件のうち143件、実に6割超が中小企業でした。ホームページの乗っ取りは、改ざんや顧客情報の漏えいだけでなく、社内ネットワークへの侵入や取引先への攻撃の踏み台にもつながります。「HPが止まる」ではなく「事業が止まる」リスクとして捉えるのが、2026年の経営感覚です。

まとめ──経営者がやることは2つ

今日、自社サイトのWordPressバージョンを確認する（または担当者・制作会社に確認を指示する）。そして「作りっぱなし」をやめ、更新と点検が回る保守体制を仕組みにする。この2つだけです。

Green Village株式会社では、WordPressサイトのセキュリティ診断・安全なサーバーへの移設、AI最適化ホームページ制作を行っています。「うちのサイト、大丈夫か分からない」という段階のご相談で構いません。バージョン確認の代行から侵入痕跡の診断まで、実務レベルでサポートします。お気軽にお問い合わせください。

出典

TANAKAMASATO