2026年7月、WordPressに新しいセキュリティの穴が見つかりました。話題になっている「wp2shell（ウィーピー・トゥ・シェル）」と呼ばれる問題です。専門家の間では「かなり深刻」とされていて、あなたのWordPressも対象に入っている可能性があります。今回は難しい言葉はできるかぎり使わず、WordPressをお使いのあなたに「今、何をしてほしいか」をお伝えします。

1. どんな問題が起きているの？

噛み砕いて言うと、起きたことは次の3つです。

• WordPressの「裏側で動く仕組み」に、ほころびが見つかった
• ほころびを突くと、ログインしていない外部の人でも、ホームページの裏側にいろいろな命令を出せてしまう
• 結果として、ホームページの中身が書き換えられたり、情報が盗まれたりする危険がある

よくある「不審なメールを開いてください」のような手間すら要らず、ホームページを誰かが訪ねた瞬間に、悪い命令が送られてくる可能性がある、というのが今回の怖さです。GMO Flatt Security というセキュリティ会社の調査では、初期設定のままのWordPressでも攻撃が成立するといわれています(wp2shell 解説記事)。

2. あなたのWordPressは対象？

下の表で、いま使っているバージョンを確認してみてください。

6.9系や7.0系をお使いの場合、ほぼ確実に攻撃対象に入る可能性があるといわれています(wp2shell 解説記事)。

3. いますぐやってほしいこと（3ステップ）

難しい話は抜きにして、やることはこの3つだけです。

ステップ1：バージョンを確認する

WordPressの管理画面にログインし、左メニューの「ダッシュボード」を開くと、上にバージョン番号が表示されます。

ステップ2：最新にアップデートする

「更新」ボタンが出ていれば、押すだけ。5分もかかりません。出ていなくても、「プラグイン」からすべてを最新版にしておきましょう。

ステップ3：自動更新をオンにする

「設定」→「一般」の下にある「自動更新を有効化」にチェックを入れます。セキュリティの自動更新をオフにしているサイトは、とくに穴が放置されやすいので要注意です。

もしアップデートに不安がある場合は、念のためサーバーまるごとバックアップを1回取ってから行ってください。レンタルサーバーの管理画面に「バックアップ」ボタンがあるはずです。

4. なぜ毎回、WordPressで同じことが起きるのか

率直にお伝えすると、WordPressは世界中でいちばん使われているホームページ作成ツールです。Webサイトのおよそ4割以上を占めるともいわれます。

広く使われていることは良い面もたくさんありますが、同時に悪い人の目にもとまりやすい、という側面があります。だから「新しい穴が見つかると、すぐに狙われる」ということが繰り返されてきました。

「うちのサイトは小さいから狙われないはず」は通用しません。自動で世界中のどこからでも攻撃が仕掛けられるのが、今のネットの世界です。

5. もし今すぐアップデートできないなら（応急処置）

レンタルサーバー会社側で「WAF（ワフ）」と呼ばれる通信のフィルタが提供されていることがあります。WAFは、怪しい通信を入口で止めてくれる玄関の警備員のようなものです。

レンタルサーバーの管理画面にWAFの設定があればオンにし、今回の攻撃で狙われる以下の文字列を遮断対象に追加できるか、サポートに相談してみてください。

• /wp-json/batch/v1 というURLへのアクセス
• /?rest_route=/batch/v1 というURLへのアクセス

ただし、これはあくまでアップデートまでの応急手当てです。根本の解決は、最新版への更新だけです(wp2shell 解説記事)。

6. すでに攻撃されていないか気になるときは

アクセスログに次のような記録が残っていないか確認してみてください。

• POST /wp-json/batch/v1 というアクセス履歴
• POST /?rest_route=/batch/v1 というアクセス履歴

ただし、これだけでは攻撃が成功したかどうかは判断できないといわれています(wp2shell 解説記事)。心当たりのないPHPファイルがWordPressのフォルダ内にないか、テーマやプラグインに見覚えのない変更がないか、あわせて確認するのがおすすめです。不安な場合は、サーバー管理会社やセキュリティの専門家に相談してください。

7. 別の選択肢もあります

毎回WordPressのアップデートに追われる運用を見直したい場合は、Movable Typeでのリニューアルもひとつの選択肢です。当社ではWordpressからMovable Typeへのリニューアル作業も一括してお請けすることが可能です。

ホームページはあなたの発信拠点であり、仕事の顔です。アップデートは、その顔を守る一番の近道です。気づいたその場で、バージョン番号だけでも確認してみてください。