2026年7月、WordPress本体に関する深刻な脆弱性「wp2shell」が公表されました。
wp2shellは、第三者がWordPressの管理画面にログインしていない状態でも、条件を満たすサイトを外部から攻撃できる可能性がある脆弱性です。
WordPress本体の更新によって問題は修正されていますが、「実際に被害は発生しているのか」「具体的に何をされたのか」が気になる方も多いのではないでしょうか。
結論から言うと、wp2shellを悪用した実際の侵入や、不正なプログラムの設置はすでに確認されています。
一方で、本日2026年7月30日時点では、被害を受けた企業や団体の名前、個人情報の漏えい件数、金銭的な被害額などを明らかにした事例は、ほとんど公表されていません。
この記事では、セキュリティ企業などから公表されている代表的な攻撃事例を、できるだけ分かりやすく紹介します。
- 1. wp2shellとは？
- 2. wp2shellによる攻撃はすでに確認されている
- 2.1. 被害事例1：不正なプラグインを設置された
- 2.2. 被害事例2：簡単なPHP製のバックドアを設置された
- 2.3. 被害事例3：「CMSmap」を装った大規模な攻撃ツール
- 2.4. 被害事例4：攻撃者専用のREST APIを作られた
- 2.5. 被害事例5：管理者のユーザー名やメールアドレスを収集された
- 2.6. 被害事例6：wp-config.phpを狙った攻撃
- 3. Wordfenceでも公表直後から攻撃を観測
- 4. 被害を受けた企業やサイトの実名は公表されている？
- 5. サイト訪問者にも影響する可能性がある
- 6. WordPressを更新すれば、それだけで十分なのか
- 7. サイト管理者が確認したいポイント
- 7.1. 管理者ユーザーを確認する
- 7.2. 不審なプラグインを確認する
- 7.3. 最近変更されたPHPファイルを確認する
- 7.4. アクセスログを確認する
- 7.5. セキュリティスキャンを実施する
- 8. まとめ
- 9. 参考情報
- 9.1. 日本語の情報
- 9.2. 海外の情報（英語）
wp2shellとは？
wp2shellは、WordPress本体に見つかった複数の問題を組み合わせることで、外部の攻撃者がWordPressサイトを乗っ取れる可能性がある脆弱性です。
主に、次の2件の脆弱性が関係しています。
- CVE-2026-60137
- CVE-2026-63030
これらを組み合わせることで、攻撃者がWordPressの管理者権限を取得し、最終的にはサーバー上で不正なプログラムを動かせる可能性があります。このように、離れた場所からサーバー上でプログラムや命令を実行できる問題を「リモートコード実行」、略してRCEと呼びます。
wp2shellが特に深刻なのは、特定のプラグインやテーマを導入していなくても、WordPress本体だけで影響を受ける可能性がある点です。
発見者であるSearchlight Cyberは、初期の案内において、プラグインを追加していない標準的なWordPress環境でも、ログインしていない第三者から攻撃できる問題だと説明しています。
参考リンク
wp2shellによる攻撃はすでに確認されている
wp2shellは、単に「理論上は攻撃できる」という段階ではありません。
クラウドセキュリティ企業のWizは、2026年7月20日、実際のWordPress環境に対してwp2shellが悪用されていることを確認したと発表しました。
Wizの調査では、複数の攻撃者がクラウド上で運用されているWordPressサイトへの侵入に成功し、その後、不正なプラグインやWebシェルを設置していたとされています。Webシェルとは、攻撃者が外部からサーバーを操作するために設置する、不正なプログラムの一種です。
簡単に表現すると、WordPressの玄関から侵入した攻撃者が、その後も自由に出入りできるよう、サーバー内に別の裏口を作るようなものです（一般にこの「不正に設置された裏口経路」のことを「バックドア」と言います）。
被害事例1：不正なプラグインを設置された
Wizが確認した代表的な事例の一つが、不正なWordPressプラグインの設置です。
攻撃者はWordPressのプラグインアップロード機能を利用し、不正なプログラムを含むプラグインをサイトに追加していました。
通常、WordPressの管理者は、管理画面の「プラグイン」からZIP形式のプラグインをアップロードできます。
wp2shellによって管理者権限を取得されると、この正規の機能が攻撃者に悪用される可能性があります。
不正なプラグインが設置されると、攻撃者はWordPressの脆弱性を修正した後も、別に作られた裏口から再びサーバーを操作できるおそれがあります。
そのため、wp2shellの影響を受ける期間にサイトを公開していた場合は、WordPressを更新するだけでなく、身に覚えのないプラグインが追加されていないかも確認する必要があります。
被害事例2：簡単なPHP製のバックドアを設置された
Wizは、非常に短いPHPコードで作られたWebシェルの設置も確認しています。PHPとは、WordPressを動かすために使われているプログラミング言語です。
確認されたWebシェルは、攻撃者から特定の命令を受け取ると、その命令をサーバー上で実行する仕組みになっていました。
また、通常のアクセスに対しては「ページが見つからない」という404エラーを返すことで、不正なファイルの存在を隠そうとしていたとされています。
このようなWebシェルは非常に短いコードで作れるため、ファイルの名前や保存場所によっては、目視だけで発見することが難しい場合があります。
被害事例3：「CMSmap」を装った大規模な攻撃ツール
Wizが確認した中には、「CMSmap」という名前を使用した、約150KBの不正なWebシェルもありました。
CMSmap自体は、WordPressなどのCMSを調査するために使われる正規のセキュリティツールです。しかし、今回発見されたものは、正規のツールやプラグインに見せかけながら、内部に本格的な攻撃機能を備えていました。
具体的には、次のような機能が含まれていたと報告されています。
- サーバー内のファイルを閲覧・変更する
- WordPressのデータベースへアクセスする
- ネットワーク上のポートを調べる
- 複数のファイルへ一括で不正なコードを埋め込む
- サーバー内でより強い権限を取得しようとする
さらに、不正なコードは圧縮や文字列の変換によって読みにくくされていました。これは、不正なプログラムであることを管理者やセキュリティ製品から見つかりにくくするための処理と考えられます。
単なる実験的な攻撃ではなく、侵入後にさまざまな操作を行うための本格的な攻撃ツールが持ち込まれていたことが分かります。
被害事例4：攻撃者専用のREST APIを作られた
別の事例では、不正なプラグインによって、攻撃者専用のREST APIがWordPress内に追加されていました。
REST APIとは、外部のプログラムとWordPressがデータや命令をやり取りするための仕組みです。
正しく使用すれば便利な機能ですが、不正なプラグインによって攻撃者専用の入口を作られると、外部から自由に命令を送れるようになります。
Wizが確認した不正プラグインでは、攻撃者が特定のURLへ命令を送ることで、サーバー上のコマンドを実行し、その結果を受け取れる仕組みが作られていました。
つまり、WordPressの管理画面へログインしなくても、攻撃者が外部からサーバーを操作できる状態になっていたということです。
被害事例5：管理者のユーザー名やメールアドレスを収集された
wp2shellによる侵入後、WordPressのユーザー情報を取得するREST APIへアクセスする動きも確認されています。攻撃者は、WordPressの管理者ユーザー名やメールアドレスを収集しようとしていました。
管理者のユーザー名やメールアドレスが知られただけで、すぐにサイトへ侵入されるとは限りません。しかし、次のような別の攻撃に利用される可能性があります。
- 管理者を狙ったフィッシングメール
- パスワードの総当たり攻撃
- 他のサービスで使い回しているパスワードの悪用
- 本物の管理会社を装った偽メール
- WordPressの更新通知を装った詐欺
特に、管理者メールアドレスが一般に公開されていない場合は、攻撃によって取得された情報が、その後の標的型攻撃に利用される可能性があります。
被害事例6：wp-config.phpを狙った攻撃
攻撃者が、WordPressの重要な設定ファイルであるwp-config.phpを読み取ろうとした動きも報告されています。
wp-config.phpには、一般的に次のような重要情報が記載されています。
- データベース名
- データベースのユーザー名
- データベースのパスワード
- データベースサーバーの情報
- WordPressの認証用キー
Wizが確認した攻撃では、別のファイルを読み込む仕組みを悪用し、wp-config.phpの情報を取得しようとする試みが行われていました。これらの情報を取得されると、WordPressの投稿やユーザー情報が保存されているデータベースへ、直接アクセスされる可能性があります。
ただし、Wizは2026年7月20日の報告時点で、実際のデータ流出や他のサーバーへの侵入拡大までは確認していないと説明しています。
したがって、「設定ファイルを狙う攻撃は確認されたものの、情報が実際に持ち出されたことまで確認されたわけではない」という点には注意が必要です。
Wordfenceでも公表直後から攻撃を観測
WordPress向けセキュリティプラグインを提供するWordfenceも、wp2shellの公表直後から攻撃とみられる通信を確認しています。
Wordfenceによると、WordPressの修正版が公開された2026年7月17日のうちに、REST APIのバッチ処理機能を調査するようなアクセスが始まりました。
その後、同日のうちにSQLインジェクションを試みる明確な攻撃が確認されたとされています。
SQLインジェクションとは、データベースへの命令を不正に操作し、本来は取得できない情報を読み取ったり、データを書き換えたりする攻撃方法です。
Wordfenceの報告では、次のような流れが示されています。
- 2026年7月17日：WordPressの修正版を公開
- 同日中：REST APIのバッチ処理機能を調べる通信を確認
- その約13分後：SQLインジェクションを狙う通信を確認
- 7月18日から19日：脆弱性を再現するコードが広まり始める
- 7月20日：詳しい技術情報や確認用ツールが公開される
WordPressの修正版が公開されてから、非常に短い時間で攻撃が始まっていたことが分かります。
被害を受けた企業やサイトの実名は公表されている？
2026年7月30日時点では、wp2shellによって被害を受けた企業、自治体、学校、個人サイトなどの具体的な名前は、広く公表されていません。
また、次のような情報も、現時点では確認できる範囲が限られています。
- 個人情報が何件漏えいしたのか
- クレジットカード情報が盗まれたのか
- サイトが改ざんされた具体的な件数
- 金銭的な被害額
- ランサムウェア攻撃につながった事例
- 日本国内で発生した具体的な被害
そのため、「○○社で何万人分の情報が漏れた」というような、社会的に広く知られた被害事例は、まだ表に出ていない状況です。
ただし、被害者の名前が公表されていないからといって、被害が発生していないわけではありません。
セキュリティ企業の監視データでは、実際の侵入、不正プラグインのアップロード、Webシェルの設置、管理者情報の収集などがすでに確認されています。
サイト訪問者にも影響する可能性がある
wp2shellによってWordPressサイトが乗っ取られると、被害はサイト管理者だけにとどまらない可能性があります。
攻撃者がサイトの内容を自由に変更できるようになった場合、次のようなことが行われるおそれがあります。
- 不正なサイトへ自動転送する
- 偽のログイン画面を表示する
- マルウェアをダウンロードさせる
- 詐欺広告や偽の警告画面を表示する
- 投稿本文やリンクを書き換える
- 通販サイトの決済画面へ不正なコードを入れる
ただし、これらはWordPressサイトが完全に乗っ取られた場合に起こり得る被害です。
2026年7月30日時点では、「wp2shellによって侵害された特定のサイトから、多数の閲覧者がマルウェアに感染した」といった具体的な事例は、広く公表されていません。
Malwarebytesも、侵害されたWordPressサイトを訪問した利用者に起こり得る危険を説明していますが、すべてが実際に確認されたwp2shellの被害事例というわけではありません。
WordPressを更新すれば、それだけで十分なのか
wp2shellへの基本的な対策は、WordPress本体を修正版へ更新することです。
WordPressでは、2026年7月17日に次の修正版が公開されました。
- WordPress 7.0.2
- WordPress 6.9.5
- WordPress 6.8.6
WordPress 6.9系と7.0系では、wp2shellの完全な攻撃経路につながる問題が修正されています。
WordPress 6.8系では、完全なRCEにつながる条件は異なるものの、関連するSQLインジェクションの問題が修正されているため、6.8.6への更新が必要です。
ただし、脆弱な期間中にすでに侵入されていた場合は、更新しただけでは不十分な可能性があります。
攻撃者が不正なプラグインやWebシェルを設置していた場合、WordPress本体を更新しても、設置された裏口はそのまま残ることがあるためです。
サイト管理者が確認したいポイント
WordPress 6.8系、6.9系、7.0系を使用しているサイトでは、まず修正版への更新が完了しているか確認しましょう。
そのうえで、次のような点も確認することが推奨されます。
管理者ユーザーを確認する
「ユーザー」画面を開き、身に覚えのない管理者アカウントが追加されていないか確認します。
攻撃者が管理者アカウントを作成した場合、WordPressを更新した後も、そのアカウントから再びログインされる可能性があります。
不審なプラグインを確認する
最近追加されたプラグインや、名前に覚えのないプラグインがないか確認します。
ただし、見覚えがないという理由だけで、すぐに削除するのは避けた方がよいでしょう。制作会社や管理担当者が導入している可能性もあるため、必要に応じてバックアップを取得し、担当者へ確認してください。
最近変更されたPHPファイルを確認する
テーマやプラグインのPHPファイルが、管理者の操作なしに変更されていないか確認します。
特に、通常は使用していない場所に新しいPHPファイルが作られている場合は注意が必要です。
アクセスログを確認する
サーバーのアクセスログで、次のようなURLへの不審なアクセスがないか確認します。
/wp-json/batch/v1?rest_route=/batch/v1/wp-admin/update.php?action=upload-plugin/wp-json/wp/v2/users?context=edit
ただし、これらのURLへのアクセスがあるだけで、必ず侵入されたとは限りません。
セキュリティ調査や単なるスキャンでもアクセスされる可能性があるため、前後の通信内容や応答結果も含めた確認が必要です。
セキュリティスキャンを実施する
Wordfenceなどのセキュリティプラグインや、サーバー会社が提供するマルウェアスキャンを利用する方法もあります。
ただし、スキャンですべての不正ファイルを必ず発見できるとは限りません。
不審な管理者アカウントやファイルが見つかった場合は、制作会社、サーバー会社、セキュリティ専門業者への相談も検討しましょう。
まとめ
wp2shellについては、実際のWordPressサイトに対する攻撃がすでに確認されています。
公表されている代表的な事例には、次のようなものがあります。
- 不正なWordPressプラグインのアップロード
- 簡単なPHP製Webシェルの設置
- CMSmapを装った本格的な攻撃ツールの設置
- 攻撃者専用REST APIの作成
- 管理者のユーザー名やメールアドレスの収集
- wp-config.phpを狙った情報取得の試み
- WordPress管理画面への不正アクセス
一方で、被害を受けた企業やサイトの実名、情報漏えい件数、被害金額などは、2026年7月30日時点ではほとんど公表されていません。
つまり、現在の状況は次のように整理できます。
This is a warning alert.実際の悪用や侵入は確認されているが、被害者名や被害規模まで明らかになった事例は、まだ限られている。
脆弱なバージョンを公開状態で使用していた場合は、直ちに最新バージョンへ更新してください。また、そこで安心せず、不審な管理者、不正なプラグイン、最近変更されたファイルなども確認しておくことが大切です。
参考情報
日本語の情報
海外の情報（英語）
- Version 7.0.2 – Documentation – WordPress.org
- wp2shell: Pre Authentication RCE in WordPress Core › Searchlight Cyber
- Exploitation in the Wild of wp2shell | Wiz Blog
- wp2shell Aftermath: The First Critical Unauthenticated WordPress Core RCE in Nearly a Decade
- Malwarebytes：What happens if you visit a WordPress site hacked through wp2shell?
