2026 年は WordPress 本体に深刻な脆弱性が相次いで公表されました。7 月には「wp2shell」と呼ばれる 2 件の脆弱性について IPA（情報処理推進機構）が注意喚起を出し、9 月にも WordPress.org が「critical（緊急）」と評価した脆弱性の修正版を公開しています。
自社のホームページが WordPress で作られている場合、経営者として押さえておきたいことは次の 3 つです。
- まずバージョンを確認する：管理画面で、今動いている WordPress のバージョンを確認します。
- 更新の前にバックアップを取る：ファイルとデータベースの両方を保存してから更新します。
- 自社で更新できないときは、早めに相談先を決める：制作会社、保守会社、サーバー会社のどこに頼むのかを決めておきます。
本記事では、WordPress.org と IPA の公表内容をもとに脆弱性の概要を整理し、バージョンの確認方法、更新の進め方、更新できないときの対処、不正アクセスが疑われるときの初動までを、技術担当者がいない会社でも進められるように解説します。内容は 2026 年 11 月 4 日時点の情報です。
wp2shell（CVE-2026-60137・CVE-2026-63030）の概要
「wp2shell」は、WordPress 本体の 2 件の脆弱性の通称です。WordPress.org は 2026 年 7 月 17 日（現地時間）に修正版 WordPress 7.0.2 を公開し、IPA は 7 月 22 日に「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」として注意喚起を公表しました。
IPA によると、これらの脆弱性が悪用された場合、標準的な構成のサイトで、管理者権限を持たない第三者に遠隔からプログラムを実行されるおそれがあります。IPA は、米国 CISA が 2026 年 7 月 21 日（現地時間）に両脆弱性を「悪用が確認された脆弱性」のカタログに追加したことも伝えています。
| CVE | 影響を受けるバージョン | 修正版 |
|---|---|---|
| CVE-2026-63030 | 6.9.0〜6.9.4、7.0.0〜7.0.1 | 6.9.5、7.0.2 |
| CVE-2026-60137 | 6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1 | 6.8.6、6.9.5、7.0.2 |
出典：IPA 注意喚起（2026 年 7 月 22 日）、WordPress 7.0.2 Release（WordPress.org）、WordPress 7.0.2 リリース（日本語版）
WordPress.org の発表では、6.8 より前のバージョンはこの 2 件の影響を受けないとされています。また WordPress.org は、影響を受けるサイトに対して自動更新を強制的に有効にしたと発表しています。ただし IPA は、自動更新を無効にしている場合や自動更新に失敗した場合に備えて、管理画面でバージョンを確認し、必要に応じて手動で更新するよう呼びかけています。
CVE-2026-87902 の概要
2026 年 9 月 22 日、WordPress.org はWordPress 7.1.2を公開しました。このリリースは、深刻度「critical」と評価された脆弱性 CVE-2026-87902 の修正を含むセキュリティリリースです。
WordPress.org の説明によると、認証されていない攻撃者が、一定の条件のもとで、ページテンプレートの処理を通じてサーバー上の PHP ファイルを読み込ませることができる問題で、サーバーやテーマの条件がそろうと遠隔からのプログラム実行につながるおそれがあります。修正は、セキュリティ修正の対象となっている 4.7 以降のすべてのブランチにも提供（バックポート）されたとされています。
なお、CVE-2026-87902 は wp2shell とは別の脆弱性です。7 月の更新を済ませていても、9 月以降の更新が適用されていなければ対策は完了していません。影響を受けるバージョンの詳細は、WordPress.org の発表からリンクされているセキュリティアドバイザリで公開されています。
2026 年 11 月時点の最新バージョン
WordPress.org のリリース一覧によると、2026 年 11 月 4 日時点の最新版は WordPress 7.1.4（2026 年 10 月 28 日公開）です。同日に 7.0 系の 7.0.8 も公開されています。7.1.4 の発表は複数の問題を修正したセキュリティリリースで、WordPress.org はすぐに更新することを推奨しています。
WordPress は今後も更新が続くため、特定の番号を覚えるより、「管理画面に新しいバージョンの案内が出ていないか」を定期的に確認することが大切です。なお 7.2 のベータ版も公開されていますが、ベータ版は本番サイト向けではありません。
自社サイトのバージョンを確認する方法
方法 1：「更新」画面で確認する
WordPress の管理画面にログインし、左側のメニューから「ダッシュボード」→「更新」を開きます。現在のバージョンと、新しいバージョンが出ているかどうかが表示されます。プラグインやテーマの更新もこの画面にまとめて表示されます。
方法 2：「サイトヘルス」で確認する
「ツール」→「サイトヘルス」を開き、「情報」タブの「WordPress」の項目で、使用中のバージョンを確認できます。「ステータス」タブでは、サイトの問題点が一覧で表示されます。PHP が古い場合の警告や、バックグラウンド更新（自動更新）が想定どおりに動いていない場合の警告もここに表示されるため、あわせて確認してください（参考：Site Health screen｜WordPress.org）。
管理画面に入れない場合
管理者アカウントを持っていない、パスワードがわからないといった場合は、サイトを制作した会社か保守会社にバージョンの確認を依頼してください。誰も確認できる人がいない状態そのものが、セキュリティ上のリスクです。
自動更新が効いているかを確認する
WordPress の公式ドキュメントによると、多くのサイトでは自動更新が既定で有効になっており、既存のサイトではメンテナンスリリースとセキュリティリリース（7.1.3 → 7.1.4 のような小さな更新）が自動で適用されます。一方、7.1 → 7.2 のような大きな更新は、既存のサイトでは設定で有効にしない限り自動では適用されません。
ただし、自動更新は設定ファイルなどで無効にできるため、制作時に無効にされているサイトもあります。また、サーバーの権限設定などが原因で更新に失敗することもあります。自動更新に頼り切らず、次の点を確認してください。
- 「更新」画面に表示されている現在のバージョンが、最新版（または利用中のブランチの最新版）になっているか
- 「サイトヘルス」の「ステータス」に、バックグラウンド更新に関する警告が出ていないか
- プラグインとテーマにも更新が残っていないか
公式ドキュメントでは、自動更新を無効にすることは強く推奨しないとされています。無効にしている場合は、その理由と、代わりに誰がいつ更新するのかを決めておく必要があります。
安全に更新する 4 つのステップ
ステップ 1：バックアップを取る
更新の前に、必ずバックアップを取ります。公式ドキュメントでも、データベースは定期的に、そして更新の前には必ずバックアップするよう案内されています。WordPress のサイトを元に戻すには、ファイル（テーマ・プラグイン・画像など）とデータベース（記事や設定）の両方が必要です。サーバー会社の自動バックアップがある場合も、どの時点に戻せるのかを確認しておきます。
ステップ 2：検証環境で試す
独自にカスタマイズしたテーマや多くのプラグインを使っているサイトは、本番と同じ内容の検証環境（ステージング環境）で先に更新を試すと安全です。サーバー会社によっては、管理画面から検証環境を作れる機能があります。
ステップ 3：本番を更新する
検証環境で問題がなければ、本番サイトを更新します。アクセスが少ない時間帯を選び、プラグイン・テーマ・本体の更新内容を記録しておくと、問題が起きたときに原因を絞り込みやすくなります。
ステップ 4：主要ページとフォームの動作を確認する
- トップページ、サービス紹介、会社概要など主要なページが正しく表示されるか（パソコンとスマートフォンの両方）
- お問い合わせフォームから送信でき、通知メールと自動返信メールが届くか
- 予約・決済・会員ログインなどの機能がある場合、それぞれ正常に動くか
- 管理画面で記事の作成・更新ができるか
特にお問い合わせフォームは、表示されていても送信できない状態に気づきにくい箇所です。更新後は実際に送信して確認してください。
更新できない 5 つの原因と対処
1. 制作会社と連絡が取れない
サイトを作った会社と連絡が取れない場合でも、ドメイン・サーバー・WordPress の管理者アカウントを自社で管理できていれば、別の会社に保守を引き継ぐことができます。確認すべき項目と手順は、ホームページ引き継ぎの手順で詳しく解説しています。
2. 管理者権限がない
自社に渡されているのが「編集者」などの権限だけで、更新ができないケースがあります。サーバーの契約者が自社であれば、サーバー会社の管理画面から管理者権限を回復できる場合もあります。ドメインやサーバーの名義がどこにあるかを、まず確認してください。
3. 独自のカスタマイズがある
テーマやプラグインのファイルを直接書き換えている場合、更新でその変更が上書きされたり、表示が崩れたりすることがあります。どこを変更しているのかを把握したうえで、検証環境で試してから更新します。
4. 古いプラグインを使っている
開発が止まっているプラグインは、新しい WordPress で動かなくなることや、脆弱性が修正されないままになることがあります。代わりのプラグインへの置き換えや、その機能自体が必要かどうかを見直します。
5. PHP が古い
WordPress.org は、PHP 8.3 以上を推奨しています。PHP 7.4 以上でも動作するとされていますが、それらのバージョンは公式のサポートが終了しており、脆弱性にさらされるおそれがあると明記されています。PHP の更新はサーバー側の作業で、テーマやプラグインの対応状況の確認も必要です。PHP のサポート期限はPHP のサポート期限（EOL）一覧をご覧ください。
不正アクセスが疑われるときの初動
見覚えのないページや管理者アカウントがある、サイトを開くと別のサイトに転送される、サーバー会社から警告が届いた — こうした場合は不正アクセスの可能性があります。WordPress.org の FAQ などをもとに、最初にやることをまとめます。
- 慌てて削除しない：ファイルやアカウントをすぐに消すと、原因の調査が難しくなります。
- 状況を記録する：気づいた症状、日時、表示された画面などを記録します。
- サーバー会社と保守会社に連絡する：サーバー側のログの確認や、一時的なサイトの停止について相談します。
- パスワードを変更する：WordPress の全管理者、サーバー、FTP、データベースなどのパスワードを変更します。
- 見覚えのない管理者アカウントを確認する：ユーザー一覧で、身に覚えのないアカウントがないかを確認します。
- 現状のバックアップを取る：調査のために、変更前の状態を保存しておきます。
- 原因を調べて除去し、最新版に更新する：不正なファイルや設定を取り除いたうえで、WordPress 本体・プラグイン・テーマを最新版にします。
サーバーのアクセスログに並ぶ不審なリクエストの見分け方は、サーバーログに届く PHP 攻撃の正体で解説しています。ログに攻撃らしいリクエストが記録されていても、それだけで侵入されたとは限りません。
保守を外部に任せる場合の費用
社内に WordPress を更新できる人がいない場合は、保守契約で定期的な更新と監視を任せる方法があります。スグレルの料金は次のとおりです。
| プラン | 料金 | 主な内容 |
|---|---|---|
| ベーシック | 月額 1 万円 | サーバー・SSL管理、バックアップ、稼働監視、WordPress本体・テーマ・プラグインの更新（月1回）、更新で問題が起きた場合の更新前の状態への復元、軽微な修正（月1回まで） |
| スタンダード | 月額 3〜5 万円 | 上記に加え、コンテンツ更新 月3回まで、更新に伴う不具合の修正、緊急対応（6時間以内に初動） |
| プレミアム | 月額 8〜15 万円 | 上記に加え、更新無制限、月次レポート、改善提案、優先対応 |
| 他社サイトの引き継ぎ・現状診断 | 5〜15 万円（保守契約時は無料） | サーバー・ドメイン・CMS の構成を確認し、対応が必要な箇所を報告 |
| スポット修正 | 3 万円〜 | 保守契約なしの単発の修正・改修 |
※税抜。上記は目安です。要件により変動します。表示価格はすべて税抜きです。
※WordPressの更新は、WordPressで構築されたサイトが対象です。
※PHPのバージョンアップ、改ざん・不正アクセスからの復旧、独自カスタマイズ部分の改修は別途お見積もりです。
保守にかかる費用の考え方や、保守契約がない場合のリスクはホームページ保守の費用相場で詳しく解説しています。
よくあるご質問
自社サイトのWordPressのバージョンはどこで確認できますか？
管理画面の「ダッシュボード」→「更新」画面で、現在のバージョンと新しいバージョンの有無を確認できます。「ツール」→「サイトヘルス」→「情報」タブでも、WordPressのバージョンを確認できます。管理画面に入れない場合は、サイトの制作会社や保守会社に確認を依頼してください。
自動更新が有効なら、何もしなくて大丈夫ですか？
多くのサイトではメンテナンス・セキュリティリリースの自動更新が既定で有効ですが、設定で無効にされている場合や、更新に失敗している場合があります。IPAも、自動更新を無効にしている場合や失敗した場合は、管理画面でバージョンを確認し必要に応じて手動で更新するよう呼びかけています。一度は実際のバージョンを確認してください。
更新したらサイトが壊れることはありますか？
独自にカスタマイズしたテーマや、長く更新されていないプラグインを使っている場合、更新後に表示や機能に不具合が出ることがあります。更新前にファイルとデータベースの両方をバックアップし、可能であれば検証環境で試してから本番を更新し、主要ページとお問い合わせフォームの動作を確認してください。
制作会社と連絡が取れず、更新できません。どうすればよいですか？
まず、ドメイン・サーバー・WordPressの管理者アカウントを自社で管理できているかを確認してください。権限が手元にあれば、別の会社に保守を引き継ぐことができます。スグレルでは他社が制作したサイトの引き継ぎ・現状診断を5〜15万円（保守契約時は無料）で承っています（税抜、目安であり要件により変動します）。
不正アクセスされたかもしれないときは、まず何をすればよいですか？
慌ててファイルを削除せず、気づいた症状と日時を記録したうえで、サーバー会社と保守会社に連絡してください。そのうえで、管理画面やサーバーのパスワードの変更、見覚えのない管理者アカウントの確認、バックアップの確保、原因の調査と除去、最新版への更新を順に進めます。
参考にした公式資料
- IPA：WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）
- WordPress.org：WordPress 7.0.2 Release（日本語版）
- WordPress.org：WordPress 7.1.2 Release
- WordPress.org：WordPress 7.1.4
- WordPress.org：Releases
- WordPress Developer Resources：Upgrading WordPress
- WordPress Developer Resources：Backup
- WordPress.org：Site Health screen
- WordPress.org：FAQ My site was hacked
- WordPress.org：Requirements