WordPressの脆弱性対応、本当に終わっていますか？5分でできる確認手順

2026年7月、WordPress本体に深刻な脆弱性が見つかりました。修正版はすでに公開され、自動更新も強制的に有効化されています。

ただし、環境によっては自動更新が効いていない場合があります。

いま必要なのは、管理画面を開いてバージョンをひとつ確認すること。それだけです。所要時間は5分ほど。この記事では、その手順と、確認したあとにどうすればよいかをご案内します。

結論：まず管理画面でバージョンを確認してください

やることは1つだけです。WordPressの管理画面にログインし、いまのバージョンが安全なものかどうかを確かめてください。

情報処理推進機構（IPA）は2026年7月22日、この脆弱性について注意喚起を公開しています。そこでは、影響を受けるバージョンと修正版が明示されています。

影響を受けるバージョンと、安全なバージョン

お使いのバージョン状態対応
7.0.2 / 6.9.5 / 6.8.6 以降安全対応済みです
7.0.0 〜 7.0.1危険（最も深刻）7.0.2 へ更新
6.9.0 〜 6.9.4危険（最も深刻）6.9.5 へ更新
6.8.0 〜 6.8.5影響あり6.8.6 へ更新
6.8 より前今回の脆弱性の影響は受けないただし別の理由で更新推奨

IPAによれば、2件の脆弱性の組み合わせによって遠隔でのコード実行が生じる可能性があるのは6.9以降です。もう1件（CVE-2026-60137）については6.8.0〜6.8.5も影響を受けるとされています。

6.8より前をお使いの場合

今回の脆弱性の直接の影響は受けないとされています。ただし安心はできません。数年前のバージョンのまま止まっているということは、それ以前の脆弱性がそのまま残っている可能性が高いためです。この機会に、更新できる状態かどうかを確認しておくことをおすすめします。

何が起きたのか、経営者向けに一言でいうと

技術的な話は最小限にします。押さえていただきたいのは次の一点です。

「ログインしていない第三者に、サイトを操作されうる」ということ

通常、Webサイトの中身を書き換えるには管理者としてログインする必要があります。ところが今回の脆弱性は、ログインなしで、外部からサイトのプログラムを実行できてしまうというものでした。

2つの不具合を組み合わせたこの攻撃手法は「wp2shell（ダブリューピー・ツー・シェル）」と名づけられています。IPAは、標準的な構成のサイトでも、管理者権限を持たない攻撃者が遠隔でコードを実行できる可能性を指摘しています。

もし悪用されれば、サイトの改ざん、不審なページの設置、フォームから送られた個人情報の窃取といった被害につながりえます。企業サイトにとっては、信用に直結する問題です。

プラグインを入れていなくても関係があります

「うちはシンプルなサイトだから」「プラグインをほとんど入れていないから」という声をよくいただきます。

しかし今回はWordPress本体（コア）そのものの問題です。プラグインの有無にかかわらず、該当バージョンをお使いであれば対象となります。ここが、これまでのプラグイン起因の脆弱性と大きく違う点です。

「もう終わった話」ではありません

修正版が出たのは7月17日。すでに3週間が経ちました。ニュースを見た記憶はあっても、いまとなっては関心が薄れている方が多いのではないでしょうか。

ところが、攻撃は続いています。

セキュリティ企業のサイバーセキュリティクラウド社が2026年8月4日に公表した観測データによれば、脆弱性の公表当日から7月26日までの9日間で、狙われるポイント宛の通信を累計約195万件検知したとのことです。公表当日の検知数は前日比で約277倍に急増し、9日間の1日平均は約21.7万件に達しています。

さらに、IPAによれば2026年7月21日（現地時間）、米国CISAの「悪用が確認された脆弱性」の一覧にも掲載されました。実証コードが公開されており、今後さらに悪用が拡大する可能性が指摘されています。

つまり、世間の関心が薄れたいまこそ、確認しておく価値があるということです。攻撃する側は、ニュースが落ち着いてから、更新し忘れているサイトを機械的に探し続けています。

【追記】
この記事を書いている間に、WordPressは更に更新しています。
WordPress.org 日本語「WordPress 7.0.3 リリース」（2026年8月7日公開）

【5分でできる】自社サイトの確認手順

Web担当者の方はもちろん、経営者の方がご自身で確認できる手順です。

手順1｜管理画面でバージョンを確認する

  1. WordPressの管理画面にログインします（通常は https://自社ドメイン/wp-admin/）←この末尾のURLも変更すべき
  2. 左メニューの一番上「ダッシュボード」をクリックします
  3. 画面右下に「WordPress 7.0.2 を実行中です」のような表示があります
  4. そのバージョン番号を、前掲の表と見比べてください

表示が見当たらない場合は、左メニューの「ダッシュボード」→「更新」を開くと、現在のバージョンが明記されています。

手順2｜更新されていなかったときにすること

安全なバージョンより古かった場合は、次の順で進めてください。

  1. バックアップを取る（サーバー会社の管理画面、またはバックアップ用プラグインで）
  2. 「ダッシュボード」→「更新」から、WordPress本体を更新する
  3. 更新後、サイトの表示・お問い合わせフォーム・スマホ表示を一通り確認する

ご自身での作業に不安がある場合は、無理に進めないでください。制作会社や保守を委託している先に「WordPressのバージョンを確認したい」とご連絡いただくのが確実です。

手順3｜更新済みでも見ておきたい3つのポイント

更新されていた場合も、念のため次の3点をご確認ください。

  • 管理者アカウントの数：「ユーザー」画面を開き、身に覚えのない管理者が増えていないか
  • 投稿・固定ページの更新日時：更新した覚えのないページが、最近の日付になっていないか
  • サイトの表示：トップページや主要ページに、見覚えのない文言やリンクが入り込んでいないか

いずれも管理画面から数分で確認できます。異変を感じたら、その時点で専門家にご相談ください。

「更新すると壊れそうで怖い」という方へ

正直なところ、この不安はもっともです。実際に、古いテーマやプラグインを使っているサイトでは、本体を更新するとレイアウトが崩れることがあります。

ただ、更新しないリスクのほうが、いまは明らかに大きいというのが実務者としての判断です。

現実的な進め方は3つあります。

1. バックアップを取ってから更新する
最もシンプルな方法です。多くのレンタルサーバーには自動バックアップと復元機能が備わっています。まずはご契約中のサーバー会社の管理画面をご確認ください。（注意：有料オプションの場合もあります）

2. 制作会社・保守委託先に連絡する
保守契約がある場合は、すでに対応済みのことも多いはずです。「7月のWordPressの脆弱性について、対応状況を教えてください」とご一報いただければ十分です。

3. 保守契約が切れている・連絡が取れない場合
地方の中小企業では、決して珍しいことではありません。制作会社が廃業していた、担当者が退職して引き継ぎがない、そもそも誰が管理しているか分からない ── そうしたご相談を、私たちも実際にお受けしています。

この場合は、まずサーバーの管理画面にログインできるかどうかをご確認ください。IDとパスワードさえ手元にあれば、状況を引き継ぐことは可能です。

AIが見つけ、AIが攻める時代に、人がすべきこと

今回の脆弱性については、AI（大規模言語モデル）を用いた解析によって発見されたと報じられています。攻撃を試みる通信も、1日20万件規模という数字が示すとおり、人の手ではなく自動化された仕組みによるものです。

見つけるのもAI、攻めるのもAI。そう聞くと、人にできることは何もないように思えるかもしれません。

けれど、そうではありません。

「うちのサイト、大丈夫だろうか」と気づくこと。 管理画面を開いて、自分の目でバージョンを確かめること。 判断に迷ったときに、誰かに相談すること。

この3つは、いまも人がやっています。そして、これができているかどうかで、被害に遭うかどうかが分かれます。

技術がどれだけ自動化されても、「自社のサイトを気にかける」という営みだけは、外注も自動化もできません。AI時代こそ、人間力。 私たちがそう考えている理由が、ここにあります。

よくあるご質問（FAQ）

Q. 自分のWordPressのバージョンはどこで確認できますか？

管理画面にログインし、「ダッシュボード」を開くと画面右下に現在のバージョンが表示されます。表示が見当たらない場合は、左メニューの「ダッシュボード」→「更新」を開くと明記されています。どちらも1分ほどで確認できます。

Q. 自動更新が有効なら、何もしなくて大丈夫ですか？

いいえ、確認をおすすめします。WordPress.orgは影響を受けるバージョン向けに自動更新による強制更新を有効化しましたが、IPAは、運用している環境・構成や設定状況によっては自動更新が有効でなかったり、更新に失敗している可能性も考えられると明記しています。管理画面での目視確認が確実です。

Q. プラグインを入れていないサイトも影響を受けますか？

はい、影響を受けます。今回はWordPress本体（コア）の脆弱性のため、プラグインの有無にかかわらず、該当バージョンをお使いのサイトが対象となります。標準的な構成のサイトでも攻撃が成立しうる点が、今回の特徴です。

Q. 更新するとサイトが壊れないか心配です。

まずバックアップを取ってから更新してください。多くのレンタルサーバーにバックアップ・復元機能が備わっています。ご自身での作業に不安がある場合は、無理に進めず、制作会社や保守委託先にご相談ください。更新しないまま放置するリスクのほうが大きい状況です。

Q. すでに攻撃を受けていないか確認する方法はありますか？

管理画面で次の3点をご確認ください。（1）身に覚えのない管理者アカウントが増えていないか、（2）更新した覚えのないページの日時が新しくなっていないか、（3）サイト上に見覚えのない文言やリンクがないか。異変を感じた場合は、ご自身で復旧を試みる前に専門家にご相談いただくことをおすすめします。

まとめ

  • WordPress 7.0.2 / 6.9.5 / 6.8.6 以降であれば、今回の脆弱性への対応は済んでいます
  • 自動更新は強制的に有効化されましたが、環境によっては効いていない場合があります
  • 公表から3週間が経ったいまも、攻撃通信は1日20万件規模で続いています
  • まずは管理画面を開き、バージョンをひとつ確認してください。5分で終わります

管理画面を開いてみたものの、バージョンが分からない。更新ボタンを押すのが怖い。制作会社と連絡が取れていない ── そうしたご相談を、a.designではお受けしています。

「うちのサイト、大丈夫でしょうか」の一言で構いません。

AI時代こそ、人間力。最後に確認するのは、いつも人です。

参考・出典

追記

この記事を書いている間に、WordPressは更に更新しています。
WordPress.org 日本語「WordPress 7.0.3 リリース」（2026年8月7日公開）