「WordPressの緊急アップデートが必要と言われたけれど、どういうこと？」「専門用語が多くてよくわからない」と不安に感じていませんか？
結論から言うと、今回の問題はWordPressを最新の安全なバージョンにアップデートするだけで解決します。しかし、放置するとサイトが乗っ取られる恐れがある非常に危険な状態です。
この記事では、現在話題となっているWordPressの脆弱性「wp2shell（CVE-2026-63030）」について、専門知識がない方にもわかりやすく解説します。また、Web担当者へそのまま送れる「対応依頼テンプレート」もご用意しましたので、ぜひご活用ください。
1. どんな問題が起きているの？（wp2shellとは）
誰でもサイトを乗っ取れてしまう危険な「抜け穴」
今回見つかった「wp2shell（CVE-2026-63030）」および関連する問題（CVE-2026-60137）は、WordPressのシステム自体に潜んでいた重大な欠陥（脆弱性）です。
通常、サイトを操作するにはIDとパスワードが必要ですが、この抜け穴を悪用されると、認証なし（パスワード不要）で誰でも勝手にサイトの管理者権限を取得し、遠隔操作できてしまうという非常に危険なものです。
一般的には、放置しておくと以下のような被害に遭う可能性があります。
- サイトの改ざん（全く関係ない悪質なページに書き換えられる）
- 顧客情報や個人情報の漏洩
- スパムメールの送信元として悪用される
すでにこの抜け穴を狙った攻撃が実際に確認されているため、一刻も早い対応が必要です。
ご利用のサーバーでの応急処置と影響
この事態を受け、「XServer レンタルサーバー」「XServer Business」「XServer for WordPress」などの対象サービスでは、被害を防ぐために2026年7月19日の朝に「抜け穴の入り口を塞ぐ（通信の遮断）」という応急処置を実施しています。
通常のWebサイトの閲覧や管理画面の操作に影響はありません。しかし、この応急処置によって、一部の機能（REST APIのバッチ処理を利用する特定のプラグインやテーマ、外部連携機能など）が一時的に正常に動かなくなる可能性があります。
サイトの機能を完全に元通りにし、かつ安全を確保するためには、応急処置に頼るだけでなく根本的な解決策であるWordPressのアップデートが必要不可欠です。
2. 対象となるバージョンと解決策
影響を受けるWordPressのバージョン
現在ご利用のWordPressが以下のバージョンに当てはまる場合、早急な対応が必要です。
- WordPress 6.9.0 ～ 6.9.4
- WordPress 7.0.0 ～ 7.0.1
- WordPress 6.8.0 ～ 6.8.5
どう対応すればいい？解決策は「アップデート」
解決策は非常にシンプルで、WordPressを修正版（安全なバージョン）へアップデートするだけです。以下のバージョン以降へ速やかに更新してください。
- 6.9.x をご利用の場合 → 6.9.5 以降へ
- 7.0.x をご利用の場合 → 7.0.2 以降へ
- 6.8.x をご利用の場合 → 6.8.6 以降へ
※重要なお願い：WordPressの「自動更新」を設定している場合でも、正常にアップデートが完了していないことがあります。必ず管理画面にログインし、対象のバージョンにアップデートされているかご自身の目で確認してください。
3. Web担当者に何て伝えればいい？（依頼用テンプレート）
ご自身でアップデート作業を行うのが難しい場合や、外部のWeb制作会社・システム担当者に管理を任せている場合は、以下のテンプレートをコピーしてメールやチャットでそのままお送りください。
| Web担当者への連絡用テンプレート |
|---|
| お疲れ様です。
現在、WordPressにて「wp2shell（CVE-2026-63030）」という非常に危険な脆弱性が公表されており、至急アップデートが必要との情報を確認しました。 つきましては、当社サイトのWordPressバージョンの確認と、該当する場合は速やかに以下の安全なバージョン（修正版）へのアップデートをお願いできないでしょうか。 ・6.9.x の場合 → 6.9.5 以降 また、利用しているサーバー側で一時的な通信遮断の応急処置が行われている影響で、一部のプラグイン等に不具合が出る可能性もあるとのことです。アップデート後、サイトの動作確認も併せてお願いいたします。 緊急度が高い事案となりますため、ご確認とご対応のほど、よろしくお願いいたします。 |
4. まとめ
今回の「wp2shell」は、特別な条件なしにサイトを乗っ取られる恐れがある重大な問題です。しかし、焦る必要はありません。「最新の安全なバージョンにアップデートする」という正しい対応を行えば、サイトを守ることができます。
サーバー側の応急処置によって一時的に守られてはいますが、機能に影響が出る可能性があるため、早急にWeb担当者と連携し、WordPressのアップデートを完了させましょう。
参考資料
- CVE-2026-63030 and CVE-2026-60137 (wp2shell): WordPress RCE Explained (Picus Security)
- WP2Shell WordPress Vulnerabilities Exploited in the Wild (SecurityWeek)
