WordPressに深刻な脆弱性｜自分のサイトは大丈夫？今すぐ確認すべきこと
2026年7月17日、世界中で利用されているWebサイト作成ソフト「WordPress」が、ログインなしでサイトを乗っ取られる恐れのある深刻な脆弱性を修正したバージョンを緊急リリースしました。すでに実際の攻撃も確認されており、WordPress側は該当バージョンを対象に強制アップデートを実施しています。自分のブログもWordPressで運営しているという方向けに、何が起きたのか、そして今すぐ確認すべきことを分かりやすく整理しました。
- WordPressコアに、認証なしで悪用できる深刻な脆弱性が発覚
- ログイン（認証）なしでデータベースを不正操作、遠隔でプログラム実行の恐れ
- 修正版7.0.2／6.9.5／6.8.6が公開され、自動更新による強制適用が実施中
- 公開直後から悪用した攻撃が確認されており、自己所有サーバーでの確認が重要
目次
WordPressに緊急の脆弱性ー修正版7.0.2などが公開
2026年7月17日、WordPress.orgはログインなしにデータベースを不正操作されるなどの深刻な脆弱性を修正したバージョンをリリースしました。修正されたのは、認証不要でデータベースを不正に操作される可能性のある脆弱性と、外部から任意のプログラムを実行される可能性のある脆弱性の2つです。この2つを組み合わせることで、認証情報を持たない第三者でもサイトを乗っ取れてしまう可能性があるとされ、セキュリティ業界内でも深刻度の高い問題として扱われています。
これらの脆弱性は、サイバーセキュリティ企業のサーチライトサイバー（Searchlight Cyber）を始めとした複数名によって報告されました。特別な設定をしていない標準的なWordPressサイトであっても、パスワードなどの認証情報なしに乗っ取られてしまう危険性があるとされています。
どんな脆弱性だったのか？認証不要でサイトを乗っ取られる危険性
今回の脆弱性が特に深刻とされる理由は、攻撃者がログインIDやパスワードを知らなくても、サイトを外部から訪れるだけの条件で攻撃を仕掛けられる点にあります。1つ目の脆弱性でデータベースへ不正にアクセスし、2つ目の脆弱性と組み合わせることで、サーバー上で任意のプログラムを実行できてしまう恐れがあるという、いわば「合わせ技」の攻撃チェーンです。管理画面のパスワードを強固にしていたとしても、WordPress本体のプログラムの穴を突かれてしまえば、その対策だけでは防ぎきれません。
セキュリティ研究者らによると、修正版の公開直後からこの脆弱性を狙った実際の攻撃がすでに観測されているとのことです。脆弱性情報が公開されると、悪意ある攻撃者が未対応のサイトを狙って一斉にスキャンを仕掛けることは珍しくなく、今回もそのパターンに当てはまる形となりました。「まだ被害が出ていないから大丈夫」ではなく、「攻撃はすでに始まっている」という前提で対応することが求められる状況です。
強制アップデートの対象バージョンと修正済みバージョン一覧
事態の深刻さから、WordPressは影響を受けるバージョンを実行しているサイトを対象に、自動更新システムによる強制アップデートを有効化しました。最新版はWordPress 7.0.2で、これに加えて古いバージョン系列を使っているサイト向けにも、修正版となる6.9.5と6.8.6がそれぞれリリースされています。6.9.5には両方の脆弱性の修正が、6.8.6にはデータベース不正操作に関する修正がバックポート（過去バージョンへの適用）される形で提供されました。
通常、WordPressのマイナーアップデート（バージョンの末尾の数字が変わる更新）はセキュリティ関連の修正が中心で、多くのサイトでは自動的に適用される設定になっています。今回のように緊急性が特に高いと判断された場合は、通常の自動更新設定をオフにしているサイトに対しても強制的に適用される仕組みが用意されており、今回はまさにこの仕組みが発動した形です。
これは「全サイトがハッキングされた」という意味ではない
ニュースの見出しだけを見ると不安になってしまいますが、今回の件は「世界中のWordPressサイトがすでに乗っ取られた」という意味ではありません。攻撃が確認されているのは、修正版がまだ適用されていない一部のサイトに対してであり、自動更新が正常に機能していれば、多くのサイトは気づかないうちに修正版へ切り替わっています。過度に不安がる必要はありませんが、「自分のサイトは大丈夫だろう」という思い込みだけで済ませず、実際に確認する一手間が大切です。
特に、WordPress.comが提供するホスティングサービスや、多くのレンタルサーバーが提供する「WordPress簡単インストール」「マネージド型WordPressホスティング」などを利用している場合、サーバー側で自動的にコアファイルの更新が行われる仕組みになっていることが多く、すでに修正版へ切り替わっている可能性が高いといえます。一方で、レンタルサーバー上で自分自身のWordPressを手動で管理している、いわゆる「セルフホスティング」の場合は、更新の状況を自分の目で確認しておくことが重要です。
セルフホスティングWordPressサイト管理者が今すぐやるべきこと
当ブログ「キニナル」も含め、レンタルサーバー上でWordPressを自分で管理している方は、以下のポイントを今すぐチェックしておくことをおすすめします。
- バージョン番号を確認する：管理画面（wp-admin）にログインし、左メニューの「ダッシュボード」→「更新」ページ、または画面下部のフッターでWordPressのバージョン番号を確認します。「7.0.2」「6.9.5」「6.8.6」のいずれかであれば修正済みです。それより古い番号（例：7.0.1、6.9.4以下など）が表示されている場合は未対応の可能性があります。
- 自動更新が本当に行われたか確認する：「更新」ページの上部に「WordPressの最新バージョンをお使いです」といった表示が出ていれば問題ありません。もし古いバージョンのまま表示が変わっていない場合、何らかの理由で自動更新が失敗している可能性があります。
- 手動でアップデートする方法：自動更新が行われていない場合は、「更新」ページに表示される「今すぐ更新」ボタンから手動でアップデートできます。事前にプラグイン「BackWPup」や「UpdraftPlus」などでバックアップを取っておくと、万が一の不具合時にも安心です。サーバーのコントロールパネル側でPHPのバージョンが極端に古い場合、更新がうまく進まないこともあるため、あわせて確認しておきましょう。
- 自動更新をオフにしている場合は要注意：表示速度やデザイン崩れを懸念して、コアの自動更新をあえてオフに設定しているサイトも少なくありません。しかし今回のような緊急性の高い脆弱性が見つかった際、自動更新がオフのままだと対応が遅れ、攻撃者に狙われる時間が長くなってしまいます。よほどの理由がない限り、セキュリティに関わるマイナーアップデートの自動更新は有効にしておくことを強くおすすめします。
- プラグイン・テーマも忘れずに確認する：今回話題になっているのはWordPress本体（コア）の脆弱性ですが、プラグインやテーマにも同様の脆弱性が見つかることは日常的にあります。管理画面の「更新」ページでは、コアだけでなくプラグイン・テーマの更新状況もあわせて確認できるので、この機会にまとめてチェックしておくと安心です。
今回の件について寄せられたコメントの中には、「更新しない人が多いから、データベースへのアクセスが簡単になってしまう」という趣旨の指摘もありました。実際、セキュリティ更新を後回しにしているサイトが一定数存在すること自体が、攻撃者にとって狙いやすい状況を生み出しているというのは、多くのセキュリティ専門家が繰り返し指摘してきた点でもあります。「自分のブログは小さいから狙われない」と考えがちですが、攻撃者は個々のサイトの規模や知名度に関係なく、脆弱性を持つサイトを自動的に探し出すプログラムを使って無差別に攻撃を仕掛けてくることが多く、更新の先延ばしはリスクをそのまま放置することにつながります。
今後も同じような脆弱性は起こりうる｜日頃からできる備え
WordPressは世界中の非常に多くのWebサイトで使われているソフトウェアであるがゆえに、常に攻撃者から狙われやすい立場にあります。今回のような深刻な脆弱性は今後も一定の頻度で発見される可能性があり、その都度「自動更新に任せきりにしない」「バージョン番号を定期的に自分の目で確認する」という習慣を持っておくことが、被害を防ぐ最もシンプルで効果的な方法です。
あわせて、管理画面のログインパスワードを定期的に見直す、ログイン試行回数を制限するセキュリティプラグインを導入する、不要になった古いプラグインやテーマは削除しておく、といった基本的な対策を積み重ねておくことも重要です。1つの対策だけに頼るのではなく、複数の対策を組み合わせておくことで、仮に1つの脆弱性を突かれたとしても被害を最小限に抑えられる可能性が高まります。
まとめ：まずは自分のサイトのバージョン確認から
今回のWordPressの脆弱性は、ログインなしでサイトを乗っ取られる恐れがあるという非常に深刻なものであり、すでに実際の攻撃も確認されています。とはいえ、これは「世界中のサイトが被害に遭った」という話ではなく、修正版が適用されていないサイトが狙われているという状況です。まずは自分が運営するWordPressサイトの管理画面にログインし、バージョンが7.0.2・6.9.5・6.8.6のいずれかになっているかを確認しましょう。もし古いバージョンのままであれば、バックアップを取った上で速やかに手動アップデートを行うことをおすすめします。日頃から自動更新を有効にしておくことが、こうした緊急事態への一番の備えになります。
