プログラミング言語に精通していなくとも直感的な操作で、ブログを開設して情報発信するのに重宝するWordPress。
私のこのブログもWordPressを使って記事執筆し公開しているわけですが、実は、そのWordPressに『wp2shell』というアカウントごと管理者権限まで乗っ取る脆弱性が発覚したと報じられています。
なんとも恐ろしい話ですし、何も知らずにそのまま放置していると大変なことになるかもしれないだけに、私もブログの管理者として他人事ではありません。
本記事では、WordPress管理者は必読となる『wp2shell』の脅威と、今すぐ取るべき対応策をまとめていきますので、ぜひ参考にしてみてください。
WordPressのアカウント＆管理者権限を乗っ取る『wp2shell』の脅威とは？
サーバーやドメインをレンタルし、自分だけのブログを作りたいユーザーなら一度は使ったことのあるCMS（コンテンツ管理システム）の一つとして、超有名なWordPress。
きっとブログを運営している方であれば、一度はその名を聞いたことがあるでしょう。
冒頭でお伝えしている通り、このブログもWordPressを使って記事を書いています。
ブロックエディタ等、少し不慣れだと使いづらいという印象もあるかもしれませんが、プログラムや専門的な知識を持たなくとも無料で簡単にWebサイトやブログを作ることができる点で、非常に重宝するシステムですよね。
しかし、そんな便利なシステムに、先日怖いニュースが世間に飛び交いました。
それは、独立行政法人・情報処理推進機構（IPA）のWebサイトでも掲載された、「wp2shell」という重大な脆弱性がWordPressで発見されたというニュースです。
引用元記事： WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)
記事を読んでいくと、WordPressに関して、
- CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）
- CVE-2026-63030（GHSA-ff9f-jf42-662q）
という2つの脆弱性が発見されたとのこと。
なんだか意味不明なコードが表記されていて、私自身も最初は「何がなんだか…」といった感じでした。
それで色々調べたところ、WordPressそのものに「2つの鍵の空いたドア」がポカンと現れ、そこから侵入されてアカウントと管理者権限を乗っ取られてしまうという致命的なバグであることがわかりました。
しかも、その重大なバグはもともとシステムの中にひっそりと潜伏していて、今回のアップデート関連の発表によって明るみに出たというのですから実に恐ろしい話ですよね。
パスワードを何回も総当たりで破るような従来のハッキング（ブルートフォース攻撃など）とは違い、今回はWordPressのシステム自体の隙を直接突くため、攻撃者はわずか一瞬で裏口から侵入し、最高管理者権限をごっそり奪っていきます。
その結果、パスワードすら入力せずに勝手に入ってきた侵入者に対して、WordPress側がシステム的な勘違いで管理者権限までホイホイと渡してしまうことで、アカウントごと完全に奪われてしまう……。
それって、私を含めてブログを運営している人間が、知らない間に勝手にブログを操作されてめちゃくちゃにされるってことですよね。
……想像するだけで、確かにもの凄く恐怖を感じます。
何気なく使っていたWordPressにこんな致命的な裏口が潜んでいたなんて本当に大問題！
だからこそ、「しっかりと対策（アップデート）をしてくれよ」とニュースになるのも当然ですね。
被害を防ぐために！今すぐWordPressをアップデートしよう
『wp2shell』がWordPressのユーザー（特に管理者）に脅威を与える脆弱性であることはわかりました。
では具体的にどの様な対策を打てば、この脆弱性を突かれてアカウントと管理者権限を乗っ取られずに済むのでしょうか？
まず、真っ先に行う防衛策としておすすめなのは、速やかにWordPressを更新させ最新バージョンにアップデートすることです。
今回の「wp2shell」に関しては、アップデートをかけることで、無防備に開いていたドアに鍵を閉める事ができるので、まずはアップデートして下さい。
ちなみに、私の場合、「ConoHa WING」を契約していて、そこからWordPressをインストールし、使っているので、基本、一部のプラグインやテーマを除いて全て自動でアップデートされる設定になっています。
なので、基本それほど気にしなくても大丈夫なのですが、一応念のために、ダッシュボードを確認してアップデート情報があれば手動でもアップデートするようにしました。
実際に確認したダッシュボードがこちら。
この画像にある、ダッシュボードの直下にある「更新」という項目をクリックし、画面下に「最新バージョンの WordPress をお使いです。」と書いてあれば問題ありません。
念のために、画面真ん中の「現在のバージョン: ○○（※実際のバージョンナンバーが入ります）」や、「最終チェック日時」の近くに記載されているリンク文字「再確認してください」をクリックし、アップデート情報が無いかどうかも確認しましょう。
ここまでやって、最新の状態になっていれば全く問題ありません！
なお、『wp2shell』に限った話ではありませんが、公式側が脆弱性を修正するための最新プログラム（アップデート）をこうして随時配信してくれています。
だからこそ、私たちも日頃からアップデート情報をこまめに確認し、しっかりと鍵を閉めて最新の状態にするように心がけましょうね！
WordPressのアップデート以外にも実施したほうが良い防衛策
基本的に、WordPressのバージョンアップを行うことで脆弱性は改善され、アカウントや管理者権限の乗っ取りを防ぐことは可能ですが、「100%完全に防ぎきれるか」と言うと、決してそんなことはありません。
この手の不正を働く輩は、あの手この手を使ってアカウントや管理者権限を乗っ取り、悪さをすることを止めません。
そのため、WordPressのアップデート以外にも打てる防衛策を施しておくのが賢明です。
では、どのような防衛策が他にあるのか見ていきましょう。
サイトを改ざんされた時の復旧用にバックアップを事前に取っておく
『wp2shell』のような脆弱性（ドアを開けっ放しにする無防備とも言える致命的バグ）に関しては、パスワードをどれだけ強化したところで全く意味をなしません。
一度侵入を許してしまったら、その時点でデータが改ざんされ、あなたの大切なサイトがめちゃくちゃにされてしまう可能性が高まります。
なので、最悪の事態を想定し、バックアップを取得しておくことを強くおすすめします。
例えば、私が契約しているConoHa WINGであれば、過去14日分のデータが自動でバックアップされています。
そのため、万が一被害に遭ったと気づくことができれば、ConoHa WINGのコントロールパネル（サーバー管理のメニュー内）から自動バックアップの項目に入り、「Web」「Mail」「DB」のそれぞれを復旧させればOKです。
ちなみに、それぞれ「リストア（復元）」できる項目を選択して画面の指示に従うだけなので、復旧作業自体も驚くほど簡単に行うことができます。
また、ConoHa WINGを契約していなくとも、WordPressには「BackWPup」や「WP Vivid Backup」などのバックアップ用プラグインが用意されています。
ConoHa WINGのサーバー自動バックアップほど完全放置とはいきませんが、初期設定さえしてしまえば自動でバックアップが取得できるので、まだ対策していない方は一度試してみるのも良いと思いますよ。
不要なプラグインやテーマは削除しておく！
普段使っているプラグインやテーマは、随時アップデートも行われているため、基本的には問題ありません。
しかし、まったく使わずに放置している不要なプラグインやテーマから脆弱性が見つかり、そこを突かれてアカウントや管理者権限を乗っ取られてしまうケースも少なくありません。
もし使っていないプラグインやテーマがある場合は、思い切って削除することをおすすめします。
少しでも「無防備な隙」を作らないようにすることが、ブログを守るうえで大切な考え方ですね。
セキュリティプラグインの導入も検討する
WordPressには、パソコンに導入するセキュリティソフトのWordPress専用版とも言える「セキュリティプラグイン」が存在します。
代表的なものとして「SiteGuard WP Plugin（サイトガード）」や「Wordfence Security（ワードフェンス）」などがあります。
これらは一部に有料プランもあるものの、基本機能は無料で十分に利用できる優れたプラグインです。
こうしたセキュリティプラグインを導入することで、不正アクセスや不審なログインなどの脅威からブログを守る力をグッと高めてくれますよ。
以上、ざっくりではありますが、WordPressのアップデート以外の3つの防衛策をご紹介いたしました。
基本的にはWordPressのアップデートで防衛できますが、よりセキュリティを高める意味でもこれらの対策は非常に有効です。
「さらにしっかりとセキュリティを固めたい！」という方は、この機会にぜひ導入を検討してみてくださいね。
まとめ
今回は、IPA（情報処理推進機構）の注意喚起でも話題となった、『wp2shell』によるWordPressの脆弱性と乗っ取りの脅威、そしてその防衛策を解説しました。
基本的にはWordPressのアップデートで致命的なバグを潰すことができますが、それだけで100％の安全を担保することはできません。
より万全を期すためには、バックアップの確保、不要なプラグインやテーマの削除、そしてセキュリティプラグインの導入という「3つの防衛策」を組み合わせるのが効果的です。
悪意ある攻撃者によるブログを脅かす脅威は後を絶ちません。
最悪の事態に陥らないためにも、今一度しっかりと対策を施し、大切なサイトを守りましょうね！
コメント