【緊急CVSS 9.8】WordPress wp2shell 完全解説｜90分で攻撃・1,100万件ブロックの2026年最大級WP事件と制作会社の緊急対応5ステップ
公開日
2026年7月17日、WordPress Core に未認証リモートコード実行（RCE）を許す「wp2shell」（CVE-2026-63030 / CVE-2026-60137）という深刻な脆弱性がパッチ公開された。CVSS スコア 9.8 の緊急レベルで、公表後わずか90分で攻撃が始まり、Wordfence は1,100万件の攻撃ブロックを記録。CISA も KEV カタログに追加した2026年最大級のWP事件。cielo が扱う全 WordPress 案件に影響するため、緊急対応手順を制作会社視点で整理する。
wp2shell（CVE-2026-63030 / CVE-2026-60137）とは？
WordPress Core の REST API バッチエンドポイントとSQL インジェクションを組み合わせた未認証 RCE 脆弱性。CVE-2026-63030（CVSS 9.8）と CVE-2026-60137（CVSS 5.9）を連鎖させることで、ログイン不要でサイト完全乗っ取りが可能になる。2026年7月17日にパッチリリースされ、通称「wp2shell」と呼ばれる。
wp2shell 概要早見表
| 項目 | 内容 |
|---|---|
| CVE 番号 | CVE-2026-63030 / CVE-2026-60137 |
| CVSS スコア | 9.8（緊急）+ 5.9 |
| 攻撃条件 | 未認証（誰でも） |
| 影響範囲 | WordPress 6.9.0〜6.9.4 / 7.0.0〜7.0.1 |
| パッチ版 | 7.0.2 / 6.9.5 / 6.8.6（2026年7月17日） |
| 攻撃ベクトル | REST API バッチルート + SQL Injection |
| Wordfence 攻撃ブロック | 1,100万件超 |
| Patchstack 観測 | 65,000攻撃 / 1,500 unique IP |
| CISA KEV 登録 | CVE-2026-60137 追加 |
影響の重大性
1. 未認証で完全乗っ取り可能
攻撃者はログイン情報不要で、WordPress サイトのファイル・DB・管理者権限を全て掌握できる。ブログ改ざん・スパム投稿・マルウェア埋め込み・DB データ流出まで一気に発生する。
2. 公表90分で攻撃開始
パッチ公表から約90分で最初の攻撃が観測された。Patchstack が実際の攻撃をブロック開始。「気づいた時には既に被害」のスピード感。
3. Wordfence 1,100万件・65,000攻撃
Wordfence は自社顧客への攻撃を1,100万件ブロック、Patchstack も65,000攻撃を1,500 IP から観測。攻撃者側も自動化されており、脆弱なサイトを次々発見する状況。
制作会社レンズ｜クライアント案件で今すぐやるべき5ステップ
ステップ1: 全 WP クライアントサイトのバージョン確認
管理しているクライアント WordPress サイトの現行バージョンを一括で確認。以下いずれかなら要緊急対応：
- WordPress 6.9.0 〜 6.9.4 → 6.9.5 に更新必須
- WordPress 7.0.0 〜 7.0.1 → 7.0.2 以降に更新必須
- 6.8.x → 6.8.6 バックポート版で対応
ステップ2: WordPress 7.0.3 / 7.0.4 への追加更新
7.0.2 で wp2shell はパッチ済だが、その後7.0.3（8月6日）で12件の脆弱性が追加パッチ、7.0.4（8月12日）で CVE-2026-65640もパッチ済。最新版への完全更新が推奨。
ステップ3: 侵害チェック
脆弱期間中にサイトが侵害されていないか確認：
- wp-content/uploads に不明な .php ファイルが混入していないか
- DB 内に不明な管理者ユーザーが追加されていないか
- wp-config.php / functions.php が改ざんされていないか
- アクセスログに不審な REST API リクエストがないか
ステップ4: WAF / Wordfence 導入検討
本体パッチ適用に加え、Wordfence・Patchstack・SiteGuard 等の WAF プラグイン導入で二重防御。cielo クライアント案件で未導入なら今こそ提案タイミング。
ステップ5: クライアントへの説明と定期監視契約
wp2shell を機に、クライアントに「月次セキュリティ監査 + 即応パッチ」パッケージを提案。月額5-15万円のリテナー契約化が現実的。
wp2shell 侵害チェックコマンド例
SSH アクセスできるサーバーで実行:
# uploads 配下の不審な .php ファイル
find wp-content/uploads -name "*.php" -type f
# 最近7日以内に変更された PHP ファイル
find . -name "*.php" -mtime -7
# 不明な管理者ユーザー確認（wp-cli）
wp user list --role=administrator --fields=user_login,user_email,user_registered業界インパクト
インパクト1: 「即応保守」の価値上昇
90分で攻撃が始まる時代、「パッチ公開後24時間以内の適用」体制を持つ制作会社と持たない制作会社で信頼差が明確に。
インパクト2: WordPress セキュリティ SaaS の急伸
Wordfence・Patchstack・SiteGuard の売上・利用者数が急伸。制作会社もこれらとの提携・代理販売で収益源化できる。
インパクト3: 中小企業の WordPress 依存見直し
大手企業では「WordPress は危険」との認識が広がり、Next.js / Astro / Cloudflare Pages 等への移行相談が増加している。移行案件の受注機会に。
FAQ
Q. 既に更新済みなら安全？
7.0.2 / 6.9.5 / 6.8.6 以降なら wp2shell は防げる。ただし、脆弱期間中に既に侵害されていた場合、バックドアが残っている可能性があるので侵害チェック必須。
Q. 管理してない古いサイトは？
使わなくなった古い WP サイトが放置されていると格好の攻撃対象。削除するか、最新版に更新するかの二択で放置は厳禁。
Q. WooCommerce や BuddyPress も影響ある？
WP Core の脆弱性なので、WP Core を使う全てのプラグイン・テーマに影響。個別プラグインは無関係。
Q. サーバー側でも対策できる？
WAF ルールで REST API バッチルートへの不審なリクエストをブロック可能。Cloudflare / さくらのレンタルサーバー等の WAFで二重防御。
参考メディア・出典一覧
- piyolog｜WordPress Coreの脆弱性 CVE-2026-63030 / CVE-2026-60137 (通称「wp2shell」) についてまとめてみた
- Rapid7｜CVE-2026-63030: wp2shell a Critical Remote Code Execution Vulnerability in WordPress Core
- Orca Security｜WordPress CVE-2026-63030 RCE Chain
- Tenable｜wp2shell CVE-2026-63030 / CVE-2026-60137 FAQ
- GMO Flatt Security Blog｜WordPressの深刻度「緊急」脆弱性 wp2shell の概要と対応指針
まとめ
wp2shell（CVE-2026-63030 / CVE-2026-60137）は2026年最大級の WordPress 事件。cielo が扱う全 WordPress 案件に影響するため、①バージョン確認 ②最新版へ即更新 ③侵害チェック ④WAF 導入 ⑤月次セキュリティ契約化の5ステップで今すぐ対応が必要。「即応保守」の価値が高まる時代、制作会社の運用体制が問われる。
この記事を書いた人
シエロデザインのサービス
お問い合わせ
Webサイト制作・保守・広告運用・Web戦略チーム支援など、私たちシエロデザインが伴走できる領域はさまざまです。
「うちの場合どうすれば？」というご相談も、まずはお気軽にお声がけください。