WordPressの脆弱性とは？最新の対処法とCMS選びで知っておきたいセキュリティの注意点
「WordPressを使っているけど、セキュリティって何に気をつければいいの？」「管理画面にアップデートの通知が来ているけど、更新しても大丈夫か不安……」といった経験はありませんか？WordPressは世界中で利用されているCMSである一方、その普及度の高さゆえにサイバー攻撃の標的にもなりやすいのが実情です。本コラムでは、2026年7月にIPAが公表した最新の脆弱性情報をもとに、WordPressユーザーが今すぐ確認すべきことと、CMS選びで押さえたいセキュリティの視点をご紹介します。
目次
WordPressの脆弱性とは？
脆弱性（ぜいじゃくせい）とは、ソフトウェアやシステムに存在するセキュリティ上の欠陥のことです。悪意ある攻撃者がこの欠陥を突くことで、サイトの改ざんや情報の漏洩、不正なプログラムの実行などが引き起こされる可能性があります。
WordPressは世界で最も広く使われているCMSであるため、常に攻撃者の調査対象になっています。プラグインやテーマ、WordPress本体のいずれにも脆弱性が見つかることがあり、公式から修正版がリリースされた後も、更新を怠っているサイトは攻撃を受け続けるリスクがあります。
2026年7月に発覚した脆弱性「wp2shell」について
2026年7月、IPA（独立行政法人 情報処理推進機構）は、WordPressに深刻な脆弱性（CVE-2026-60137・CVE-2026-63030）が発見されたとして、緊急の対策を呼びかけました。この2つの脆弱性を組み合わせた攻撃手法は「wp2shell」と呼ばれています。
最も深刻なのは、管理者権限などの特別な権限を持っていない攻撃者でも、遠隔からサーバー上でプログラムを実行できてしまう可能性がある点です。つまり、サイト運営者が気づかないうちにサーバーを乗っ取られるリスクがあります。この脆弱性は米国のセキュリティ機関CISAが管理する「悪用が確認された脆弱性リスト（KEVカタログ）」にも掲載されており、実際にすでに悪用されていることが報告されています。
影響を受けるバージョンは WordPress 6.9.0〜6.9.4 および 7.0.0〜7.0.1 です。また CVE-2026-60137 については WordPress 6.8.0〜6.8.5 も対象となっています。
今すぐ確認すること
WordPressをお使いの方は、以下の手順で現在のバージョンを確認し、必要に応じてアップデートを実施してください。
WordPress.orgは影響を受けるバージョンに対して自動更新による強制アップデートを有効化したとしていますが、サーバーの設定や環境によっては自動更新が働いていない場合があります。必ず手動で確認することが大切です。
WordPressの管理画面（ダッシュボード）にログインし、左メニューの「更新」から現在のバージョンを確認しましょう。修正済みのバージョンは WordPress 6.8.6、6.9.5、7.0.2 です。これらより古いバージョンをお使いの場合は、速やかに手動でのアップデートをご検討ください。
なお、アップデートを実施する前に、すでに不正なファイルや改ざんが行われていないかを確認することを強くおすすめします。もし攻撃者がすでにサーバーへの侵入に成功していた場合、バージョンアップで脆弱性への入口は塞がれますが、攻撃者が設置したバックドア（不正な侵入口）は残ったままになるため、被害が継続するリスクがあります。管理画面にアクセスできない、身に覚えのないファイルが増えているといった異変を感じた場合は、専門家への相談も検討してください。
アップデート前には必ずサイトのバックアップを取得してから実施することをおすすめします。プラグインやテーマとの相性問題が発生する可能性もゼロではないため、万が一の際に元に戻せる状態を確保しておくことが重要です。
CMS選びで知っておきたいセキュリティの考え方
CMSは大きく「動的CMS」と「静的CMS」の2種類に分けられます。動的CMSはアクセスのたびにデータベースからデータを取得してページを生成する仕組みで、WordPressが代表例です。一方、静的CMSはあらかじめHTMLファイルを生成して配信する仕組みで、公開ページにデータベースを持ちません。この違いはセキュリティ面でも大きな差につながります。詳しくは「動的CMSと静的CMSの違いを比較！サイト運用に合わせた失敗しないCMSの選び方とは？」もご参照ください。
今回の事例が示すように、WordPress（動的CMS）はサーバー上でデータベースと連携してページを動的に生成する仕組みであるため、データベースを狙った攻撃や、そのデータベースを経由したプログラム実行のリスクが生じます。プラグインの数が増えるほど、脆弱性が発生するポイントも増えるため、セキュリティ管理のコストは高くなる傾向があります。
一方、静的CMSは公開ページにデータベースを持たない構造のため、データベースを経由した攻撃の経路そのものが存在しません。あらかじめ生成されたHTMLファイルを配信するだけの仕組みなので、WordPress特有のプラグイン起因の脆弱性リスクを回避しやすい点が特長です。
また、万が一サイトが攻撃を受けた場合の「復旧しやすさ」もCMS選びの重要な観点です。バックアップ機能やロールバック機能が標準で備わっているかどうかを事前に確認しておくと、被害を最小限に抑えることができます。
たとえば当社が提供する企業向けCMS「LENSAhub」は静的CMSとして設計されており、公開用サーバーにデータベースを持たない構造を採用しています。ノーコードによるドラッグ＆ドロップ操作で誰でも更新できながら、セキュリティ面での安定性も確保しています。WordPressのような頻繁なバージョンアップ対応に追われることなく、安心してサイトを運用したい企業担当者の方に選ばれています。
まとめ
WordPressの脆弱性は定期的に発見されており、今回のような深刻な問題も今後さらに発生する可能性があります。WordPressをお使いの方はまず管理画面でバージョンを確認し、最新版へのアップデートを実施してください。また、CMSを選ぶ際は機能や操作性だけでなく、セキュリティ構造の違いも判断材料のひとつとして考慮することが重要です。
自社のサイト運用体制やセキュリティに問題がないか気になる方、現状の運用に課題を感じている方は、ツールベンダーや制作パートナーに相談してみることをおすすめします。「何から確認すればいいかわからない」という場合は、当社でも無料のセキュリティ診断を承っております。お気軽にご相談ください。
また、インフォネットでは、皆さまのお役にたてる情報発信の場として、オンラインセミナーを定期的に開催しております。
セミナーページは下記よりご確認いただけます。
関連ページ
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell) | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構