IPAがWordPressの脆弱性に緊急注意喚起。今すぐ確認したいポイントを解説【2026年7月】

2026年7月22日、独立行政法人情報処理推進機構（IPA）は、WordPress Coreの脆弱性について緊急の注意喚起を公開しました。

ニュースを見て、

• 「自分のサイトは大丈夫？」
• 「すぐに対応しないと危険？」
• 「何を確認すればいいの？」

と不安になった方も多いのではないでしょうか。

この記事では、今回の脆弱性の概要と、WordPressを運用している方が今すぐ確認したいポイントをわかりやすく解説します。

今回発表された脆弱性とは？

今回修正されたのは、WordPress Coreに存在する次の2つの脆弱性です。

• CVE-2026-60137（SQLインジェクション）
• CVE-2026-63030（REST APIの脆弱性）

WordPress 6.9系と7.0系では、この2つを組み合わせることで、認証されていない第三者が遠隔から任意のコードを実行できる可能性があることが報告されています。

この攻撃手法は、海外のセキュリティコミュニティで「wp2shell」と呼ばれています。

なぜ深刻なの？

今回の脆弱性が注目されている理由は、単に脆弱性が見つかったからではありません。

• 実証コード（PoC）が公開されている
• 米国CISAの「Known Exploited Vulnerabilities（KEV）」へ追加された
• IPAが緊急の注意喚起を公開した

など、実際の悪用を強く意識した対応が取られています。

そのため、対象バージョンを利用している場合は、できるだけ早めの確認とアップデートが推奨されています。

影響を受けるバージョン

主な影響を受けるバージョンは次のとおりです。

• WordPress 6.8.0 ～ 6.8.5
• WordPress 6.9.0 ～ 6.9.4
• WordPress 7.0.0 ～ 7.0.1

ただし、影響の範囲は系列によって異なります。

• 6.8.0 ～ 6.8.5： CVE-2026-60137の影響を受ける
• 6.9.0 ～ 6.9.4、7.0.0 ～ 7.0.1： 2件の脆弱性の影響を受け、組み合わせによる遠隔コード実行の可能性がある

修正版となる次のバージョン以降への更新が推奨されています。

• 6.8.6
• 6.9.5
• 7.0.2

まずはWordPressのバージョンを確認しよう

まず確認したいのは、現在利用しているWordPressのバージョンです。

管理画面から、

「ダッシュボード」→「更新」

を開くと確認できます。

自動更新が有効になっている環境でも、設定やサーバーの状態などにより更新されていない可能性があります。利用者自身でも現在のバージョンを確認しましょう。

アップデート前にはバックアップを取得し、可能であれば動作確認ができる環境を用意しておくと安心です。

アップデートしたら終わりではない

WordPressを最新版へ更新したら安心……というわけではありません。

今回の脆弱性は遠隔でコードが実行される可能性があるとされているため、念のためサイトに異常がないかも確認しておくことをおすすめします。

確認① 管理者ユーザーが追加されていないか

管理画面の、

「ユーザー」→「ユーザー一覧」

を開き、覚えのない管理者ユーザーが追加されていないか確認しましょう。

身に覚えのない管理者アカウントが存在する場合は、不正アクセスの可能性があります。

確認② 不審なプラグイン・テーマが追加されていないか

次に、次のようなものがないか確認しましょう。

• 見覚えのないプラグイン
• 使用していないテーマ
• 最近追加した覚えのない拡張機能

攻撃後にバックドアとして追加されるケースもあるため、普段と違うものがあれば注意が必要です。

不審なものを見つけた場合は、すぐに削除するだけでなく、専門家やサーバー会社へ相談し、影響範囲を確認することをおすすめします。

確認③ サイトが改ざんされていないか

実際にサイトを開いて、次のページを確認しましょう。

• トップページ
• お問い合わせフォーム
• 主要ページ
• ブログ記事

見慣れない広告やリンク、文字化け、不自然なリダイレクトなどがないかも確認しておくと安心です。

確認④ PHPもサポート対象のバージョンか

WordPressだけでなく、PHPのバージョンも確認しましょう。

サポートが終了した古いPHPでは、セキュリティ更新が提供されません。

WordPressだけ最新版でも、PHPが古いままではリスクが残る可能性があります。利用中のテーマやプラグインとの互換性を確認したうえで、サポート対象のバージョンへ更新しましょう。

確認⑤ エラーログ・アクセスログも確認する

レンタルサーバーを利用している場合は、次のログも確認してみましょう。

• エラーログ
• アクセスログ

普段見慣れないアクセスや大量のエラーが発生していないかを確認することで、異常の早期発見につながることがあります。

ログの見方がわからない場合や、不審な記録を見つけた場合は、サーバー会社や専門家へ相談してください。

AI時代はアップデートの重要性がさらに高まる

近年では、AIの活用によって情報収集やコード生成などが効率化され、サイバー攻撃全体も高度化・効率化していると指摘されています。

AIが直接WordPressを攻撃するわけではありませんが、攻撃者の調査や開発を支援することで、新たな攻撃手法がより短期間で広がる可能性もあります。

そのため、セキュリティアップデートへの迅速な対応は、これまで以上に重要になっています。

レンタルサーバーの案内も確認しよう

主要なレンタルサーバー各社でも、脆弱性への対応やWordPressのアップデート方法を案内することがあります。

利用しているレンタルサーバーのサポートページもあわせて確認しておくと安心です。

例えば、次のようなサービスの公式サポート情報を確認しましょう。

• エックスサーバー
• ConoHa WING
• ロリポップ！
• さくらのレンタルサーバ

制作会社としておすすめする対応

今回のような脆弱性が公表された際は、次の流れで対応することをおすすめします。

1. WordPress本体のバージョンを確認する
2. バックアップを取得する
3. 修正版へアップデートする
4. テーマ・プラグインも最新版へ更新する
5. 管理者ユーザーやプラグインに異常がないか確認する
6. サイト表示やお問い合わせフォームが正常に動作するか確認する
7. PHPのバージョンも確認する
8. 必要に応じてログを確認する

慌てる必要はありませんが、「あとでやろう」と後回しにすることは避けた方がよいでしょう。

まとめ

IPAは2026年7月22日、WordPress Coreの脆弱性について緊急の注意喚起を公開しました。

対象バージョンを利用している場合は、まずWordPressのバージョンを確認し、修正版へアップデートしましょう。

また、アップデート後も、次の点を確認しておくとより安心です。

• 覚えのない管理者ユーザーが追加されていないか
• 不審なプラグインやテーマがないか
• サイトが正常に表示されるか
• PHPがサポート対象のバージョンか

おべんちゃーでは、WordPressの保守・アップデート対応やセキュリティ対策のご相談も承っています。

また、公開中のホームページについて、WordPressやPHPのバージョン、テーマ・プラグインなどの公開情報を確認できるWordPress簡易セキュリティチェックツールも公開しています。

WordPress簡易セキュリティチェックはこちら

「自社サイトが対象か確認したい」「安全にアップデートできるか不安」という方は、WordPressの保守・セキュリティについてお気軽にご相談ください。

参考情報

• WordPress 7.0.2リリース（WordPress.org 日本語）
• 重要なセキュリティ情報（IPA）
• Known Exploited Vulnerabilities Catalog（CISA）