【注意喚起】WordPressコアの脆弱性「wp2shell」とは？影響バージョンと緊急対策

WordPress本体（コア）において、「wp2shell」と呼ばれる極めて深刻な脆弱性が発見されました。

本脆弱性は、追加のプラグインやログイン権限を必要とせず、外部から未認証の状態でサーバーを遠隔操作される恐れがある非常に危険なものです。WordPressコアにおいてこれほど深刻な脆弱性が発見されたのは、約10年ぶりとされています。

すでに修正パッチの公開からわずか数時間で実際の悪用（攻撃）や概念実証（PoC）コードの公開が確認されています。サイト管理者の方は、ただちに以下の詳細をご確認のうえ、緊急対策を実施してください。

「wp2shell」脆弱性の概要と対象バージョン

項目	詳細
脆弱性の種類	未認証リモートコード実行（RCE）チェーン / SQLインジェクション
パッチ公開日	2026年7月17日
影響を受けるバージョン	・6.9.x / 7.0.x：完全なRCEチェーンの影響を受ける・6.8.x：SQLインジェクションの脆弱性のみ影響を受ける
修正済みバージョン	6.8.6 / 6.9.5 / 7.0.2 以上

本脆弱性の最大の危険性は、「攻撃成立のための前提条件がほぼ存在しない」という点にあります。

本警告は緊急アドバイザリに基づくものであるため、ソースコードレベルの悪用手順など具体的な技術的メカニズムや発見のタイムラインについては記載されていません。より深い技術情報については、該当する外部の完全版記事（フルポスト）を参照する必要があります。

万が一、すでに攻撃を受けている場合、サイト内に以下のような不審な痕跡が残っている可能性があります。

パッチ公開直後からすでに実際の攻撃が発生しています。すべてのサイト管理者は、以下の手順で速やかに対応を行ってください。

WordPress本体の即時アップデート
WordPressを修正済みバージョン（6.8.6、6.9.5、7.0.2 以上）へただちに更新してください。（※有料ユーザー向けには即座に防御策が提供されています）
更新後の動作確認
アップデート完了後、サイトが正常に稼働しているかを確認します。
サイト内の点検
不審な管理者アカウントの有無や、身に覚えのないファイルの変更・追加がないか点検を実施してください。