WordPressの古いバージョンの穴を狙った攻撃が、8月14日頃から急に増えました。
私が管理しているサイトの7割ほどで、同じ攻撃が起きています。
自分自身のサイトも含めてきちんとアップデートしているので攻撃は無効化されているのですが。
その前の週までは、その攻撃は1件もありませんでした。
修正版は2026年7月17日に出ているので、それが当たっていれば、この攻撃は通りません。
管理画面を開けば30秒で確認できるので、心配な方はチェックしてみてください。
まず、自分のサイトが該当するか30秒で確かめる
WordPressの管理画面にログインして、「ダッシュボード」から「更新」を開くと、いま使っているバージョン番号が書いてあります。管理画面の右下にも小さく表示されているので、そちらでも確認できます。
次のどれかに当てはまるなら、対象です。
- 7.0.0 / 7.0.1
- 6.9.0 〜 6.9.4
- 6.8.0 〜 6.8.5(この範囲は影響が一段軽いのですが、同じ日に修正が出ています)
修正版は 6.8.6 / 6.9.5 / 7.0.2 の3つで、どれも2026年7月17日に出ています。お使いのバージョンがこのどれかに届いていれば、この攻撃は通りません。
対象だった場合は、いますぐ更新が必要です。この穴は実際に悪用が確認されているので、様子を見る種類のものではありません。
なお、6.8より古いバージョンをお使いの場合、この件については対象外になります。
ただし、それは安全という意味ではありません。何年も前のバージョンには、この件とは別の穴がいくつも残ったままです。むしろそちらのほうが心配な状態かと思います。
会社の大きさも、アクセス数も、関係がありません
こういう話をすると、「うちみたいな小さいところが狙われるわけがない」と思われるかもしれません。
でも、実際には、会社の規模も、アクセス数さえも関係ありません。
攻撃する側は、相手が何の会社で、どれくらいの規模で、月に何人が見ているサイトなのかを知りません。調べようともしていなくて、インターネット上のアドレスを片っ端から叩いて、当たるところを探しているだけです。
だから「小さいから狙われない」わけではないです。
攻撃者は手当たり次第に弱いところを探しているんです。
1ヶ月後も放置すると攻撃を受ける
この穴が公表されたのは2026年7月17日で、修正版は同じ日に出ています。
世界では、その3日後の7月20日にはもう最初の悪用が観測されていて、そこから数日でインターネット全体を舐めるようなスキャンにまで広がったと報告されています。
それから1か月、私が見ている範囲にも攻撃が及ぶようになりました。
サーバ会社の中には、この対策に動いてたところがあります。
たとえばエックスサーバさんは、ちょうど今日8月24日、アップデートができていない利用者のシステムを強制的にバージョンアップさせました。
その前の7月21日には「ログイン不要でサイトを操作される恐れのある脆弱性が確認された」と注意を呼びかけておられましたが、今回は強制発動となりました。
実際の影響が出てきたということなんでしょうね。
攻撃が来ても被害は防げます
今回、私のところに来たものは全部ブロックされています。
アップデートができているので、被害は出ていません。
修正が出る前に襲われる「ゼロデイ攻撃」のようなものと比べれば、今回は1か月の猶予がありました。
ログインが要らないのが、この件の怖いところ
この穴には「wp2shell」という名前がついています。
何が怖いかというと、ログインが要らないという点です。
普通、サイトの中身をいじるには管理画面にログインする必要があるので、パスワードを強くしておけばひとまず入られることはない、という前提が成り立ちます。
この攻撃はその前提を飛ばすので、パスワードの強さも、二要素認証を入れているかどうかも、ログインURLを変えてあるかどうかも、いっさい関係がありません。
WordPressには、外部のプログラムから中身を読み書きするための窓口があります。スマホのアプリや他のサービスと連携するために、最初から開いているものです。
今回はその窓口のひとつに、通す相手を確かめる手順の抜けがありました。
普通なら「あなたは誰ですか」と聞かれるところで、聞かれないまま通れてしまった。だからパスワードの強さが関係なかった、という話です。
なお、この抜けは7月17日の更新でふさがれているので、更新さえ済んでいれば通れません。
＜参考リンク＞
wp2shell の技術的な解説(Bitdefender・英語)
自動アップデートはあります。それでも、未対処になるケースがありました
ここまで読むと放置されていたように見えるかもしれませんが、対策のほうもかなり動いていました。
WordPressは今回、強制的な自動更新を発動しています。サイト側の設定に関係なく、対象のサイトを裏側で更新しにいく仕組みです。
それなのに、公表から1ヶ月以上たっても、更新がかからずに古いのバージョンのまま動いているサイトが実際にある。
エックスサーバの発表内容を見ると、そういうことがわかります。
サーバー会社がやってくれるなら、それでいいのでは？
そう思われるかもしれませんし、実際、今回はかなり助かった話です。
ただ、3つだけ補足させてください。
その1：今回代わりに更新されたのは、WordPress本体だけです。
プラグインやテーマは含まれていないので、そこは自分で見るしかありません。同じ時期の私のログには、あるプラグインの穴を狙った攻撃も混ざっていて、本体を守ってもらっても、そちらは別の話として残ります。
その2：どのサーバー会社でも同じ対応をするとは限りません。
今回エックスサーバーが動いたことは発表で確認できましたが、他社がどうしたかまでは調べていません。ご自分の契約しているサーバーがどうだったかは、届いているお知らせを見るのが確実かと思います。
その3：更新されたあとにサイトが壊れていないか確認が必要です。
更新によって、たまに不具合が起こることがあります。しかも、表側のページは普通に見えているのに管理画面のどこかでエラーが出る、という壊れ方をすることもあります。
さいごに
今回のことで、1か月も放置すると、攻撃の手が伸びるということがわかりました。
会社の大きさは関係ありませんし、アクセス数も、業種も、どんなサイトかも関係ありません。
攻撃する側はそもそもこちらを見ていなくて、見ているのは、そこに穴が開いているかどうかだけなんですね。
自動更新があるからといって放置せずに、定期的に点検することは大事だと改めて思った出来事でした。