WordPress 6.9・7.0系に緊急の脆弱性｜今すぐバージョンを確認してください

2026年7月、WordPress本体に極めて深刻な脆弱性が公表されました。

これまで当ブログで扱ってきた「プラグインの脆弱性」とは性質が異なります。WordPress本体の問題であり、特殊なプラグインを使っていないサイトも対象です。

ただし、慌てる必要はありません。すでに修正版が公開されており、多くのサイトは自動更新で対応済みのはずです。問題は「自動更新が止まっているサイト」です。

この記事では、何が起きているのかと、自分のサイトが該当するかを確認する方法をご説明します。確認は3分ほどで終わります。

結論：このバージョンなら至急更新してください

先に結論をお伝えします。ご自身のWordPressのバージョンを確認し、下記に該当する場合は更新が必要です。

使用中のバージョン	状態	対応
6.9.0 〜 6.9.4	危険	至急 6.9.5 以上へ
7.0.0 〜 7.0.1	危険	至急 7.0.2 以上へ
6.8.0 〜 6.8.5	要注意	6.8.6 以上へ
6.8.6 / 6.9.5 / 7.0.2 以降	対応済み	—

※修正版は2026年7月17日に公開されています。

6.9系と7.0系が特に危険です。これらのバージョンでは、標準的な設定のままでも攻撃が成立すると報告されています。

自分のバージョンを確認する方法

方法1：管理画面で確認する（確実）

WordPressの管理画面にログインし、「ダッシュボード」→「更新」を開いてください。画面上部に現在のバージョンが表示されます。

「最新バージョンを使用しています」と表示されていれば問題ありません。更新可能な場合は、その場で更新できます。

方法2：診断ツールで確認する（ログイン不要）

管理画面のログイン情報が手元にない場合や、取引先・関連会社のサイトが心配な場合は、URLを入力するだけで確認できます。

当サイトの無料診断ツールに、今回の脆弱性の判定を追加しました。該当するバージョンを検出した場合は、危険として表示します。

なお、バージョンを外部に公開していないサイトでは検出できません。その場合は「確認できませんでした」と表示されます。バージョンを隠すこと自体は望ましい設定なので、管理画面での確認をお願いします。

何が起きる脆弱性なのか

専門的な内容なので、押さえるべき点だけをご説明します。

今回公表されたのは2つの脆弱性で、これを組み合わせると攻撃が成立します。セキュリティ企業のFlatt Security社は、この攻撃手法を「wp2shell」と名付けて解説しています。

• CVE-2026-63030：REST APIの処理に関する問題
• CVE-2026-60137：データベースへの不正な問い合わせが可能になる問題

最も重要な点：ログインが不要です

この脆弱性が深刻とされる理由は、攻撃にログイン情報を必要としないことにあります。

通常の攻撃では、まずパスワードを破る必要があります。強いパスワードを設定していれば、それが防壁になります。しかし今回のものはその手前で成立してしまいます。

成立した場合、攻撃者は次のようなことが可能になると報告されています。

• サーバー上で任意のプログラムを実行する
• データベースの情報を盗み出す
• ページを改ざんする
• 悪意あるスクリプトを設置する

実質的にサイトの主導権を奪われる状態です。

「自動更新にしているから大丈夫」は本当か

WordPressは、小数点以下のバージョンアップ（6.9.4 → 6.9.5 など）を既定で自動的に適用します。セキュリティ修正はこの形で配布されるため、設定を変えていなければ、すでに更新されている可能性が高いといえます。

ただし、次のような場合は自動更新が働きません。

• 制作時に自動更新を無効化されている……「勝手に更新されると困る」という理由で止めているケースがあります
• サーバーの権限設定で更新に失敗している……エラーが出ても誰も気づいていない状態です
• ファイルの書き換えが禁止されている

「自動更新のはずだから大丈夫」と考えるのではなく、実際のバージョンを目で確認してください。これが唯一確実な方法です。

更新する手順

該当していた場合の対応です。緊急性は高いですが、手順を飛ばすと別のトラブルを招きます。

1. バックアップを取る
   ファイルとデータベースの両方です。多くのレンタルサーバーには自動バックアップ機能があります。
2. 「ダッシュボード」→「更新」から本体を更新する
   ボタン一つで完了します。数分で終わります。
3. 更新後に表示を確認する
   トップページ、問い合わせフォーム、主要ページをパソコンとスマートフォンの両方で確認します。

本体のマイナー更新は、テーマやプラグインの更新に比べて表示が崩れる可能性は低い作業です。とはいえバックアップは必ず取ってください。手順の詳細は安全にアップデートする手順にまとめています。

すぐに更新できない場合の暫定対応

「更新すると壊れる可能性があり、すぐには踏み切れない」という状況もあると思います。その場合の緩和策も公表されています。

攻撃に使われる特定の入り口を、サーバー側で遮断する方法です。

/wp-json/batch/v1
/?rest_route=/batch/v1

この2つへの外部からのアクセスを、WAF（サイト改ざん対策機能）などで拒否します。多くのレンタルサーバーにWAF機能が用意されています。

ただしこれはあくまで応急処置です。根本的な解決は更新以外にありません。設定に不安がある場合は、サーバー会社のサポートか保守業者にご相談ください。

すでに攻撃を受けていないかの確認

修正版が公開されてから時間が経っています。長期間放置していたサイトは、更新前に侵入されている可能性も考えられます。

更新を済ませたうえで、次の点を確認してください。

• 管理画面の「ユーザー」に、見覚えのないアカウントが増えていないか
• Googleで site:自分のドメイン と検索し、身に覚えのないページが出てこないか
• スマートフォンの検索結果から自分のサイトを開いて、別サイトに転送されないか

確認方法の詳細は改ざんされた？今すぐ確認すべき5つのサインで解説しています。更新は「これ以上侵入されないようにする」対策であり、すでに入られていた場合の後始末は別途必要だという点にご注意ください。

複数サイトを管理している場合

自社サイトのほかに、キャンペーン用のサイトや過去に作った別ドメインのサイトをお持ちの場合は注意が必要です。

更新が漏れるのは、たいてい「普段見ていないサイト」です。メインのサイトは気にかけていても、数年前に作ったまま放置しているサイトのことは忘れられがちです。

放置されたサイトが侵入されると、そこを踏み台にして迷惑メールの送信元にされたり、同じサーバー内の他のサイトに影響が及んだりすることがあります。「使っていないから放っておく」が最も危険な状態です。

この機会に、お持ちのサイトをすべて洗い出してみてください。使わなくなったサイトは、更新を続けるより閉鎖してしまうほうが安全な場合もあります。

今回の件から学べること

この脆弱性で本当に危険なのは、「脆弱性が公表されたこと」ではなく「公表されても気づかないこと」です。

修正版は公表と同時にリリースされています。情報を追っていて自動更新も生きているサイトは、この記事を読む前にすでに安全な状態です。

危険なのは、誰も見ていないサイトです。制作会社と連絡が取れなくなっている、担当者が退職した、そういう状態のサイトでは、脆弱性が公表されても対応する人がいません。

心当たりがある場合は、制作会社と連絡が取れないときに確認することもあわせてご覧ください。

まとめ

やるべきことは1つだけです。いま使っているWordPressのバージョンを確認してください。

• 6.9.5 / 7.0.2 以上なら対応済みです
• それ未満なら、バックアップを取ってから更新してください

3分で終わる確認です。今日中に済ませてしまうことをおすすめします。

参考：本記事の技術的な情報は、Flatt Security社が公開した解説記事を出典としています。より詳しい内容はそちらをご確認ください。