wp2shellとは？WordPress 7.0.2未満の脆弱性 対象バージョンとチェック方法
概要
「wp2shell」は、WordPress本体の脆弱性 CVE-2026-63030・CVE-2026-60137 の呼び名です。2026年7月に修正版が公開され、その後まもなく悪用が報告されました。
経緯
- 2026年7月17日: 修正版(パッチ)が公開
- 2026年7月20日: 海外で悪用が報告(英国NHS、フランスCERT Santéなど)
- 2026年7月22日: IPAが注意喚起を公表
対象・修正バージョン
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-63030 / CVE-2026-60137 |
| 対象 | WordPress 7.0.2 未満 |
| 修正 | WordPress 7.0.2 |
| 深刻度(CVSS) | 各CVEレコードで確認してください |
古いブランチへの修正提供の状況は、WordPress公式のリリース情報で確認してください。
バージョンと自動更新の確認
- WordPressの管理画面で「ダッシュボード → 更新」を開き、お使いのWordPressのバージョンを確認します(「ツール → サイトヘルス → 情報 → WordPress」でも確認できます)。
- 7.0.2未満なら、すぐに更新します。
- 同じ画面で、自動更新が有効になっているかを確認します。
WordPressが最新でも、サーバーのPHPが古いと別の脆弱性が残ります。PHPのバージョンもあわせて確認しましょう。
すぐに更新できない場合
- レンタルサーバーやCDNのWAF(Webアプリケーションファイアウォール)機能が使える場合は有効にする
- 管理画面へのアクセスをIPアドレスなどで制限する
- 改ざんの兆候がないか確認する(改ざん・webshellの確認方法)
いずれも一時的な対策です。できるだけ早く修正版へ更新してください。
よくある質問
wp2shellとは何ですか？
2026年7月に修正版が公開されたWordPress本体の脆弱性(CVE-2026-63030・CVE-2026-60137)の呼び名です。国内でもこの名前で検索されています。
対象のバージョンは？
WordPress 7.0.2未満が対象で、7.0.2で修正されています。古いブランチへの修正提供の状況は、WordPress公式のリリース情報で確認してください。
phpcheck.jpでwp2shellを判定できますか？
phpcheck.jpの判定対象はPHP本体の脆弱性です。URLチェックでWordPressのバージョンが読み取れた場合は参考情報として表示しますが、WordPress本体の脆弱性の判定はしていません。WordPressのバージョンは管理画面で確認してください。
出典
最終確認日: 2026-10-21