【緊急】WordPressに深刻な脆弱性「wp2shell」。さくらVPSで運用している方は今すぐバージョン確認を

2026年7月、WordPress本体に「wp2shell」と呼ばれる深刻な脆弱性が見つかりました。管理画面にログインしていない第三者でも、外部からサーバー上で任意のコードを実行できてしまう可能性がある、非常に危険な内容です。

さくらのVPSでWordPressを運用している方は、レンタルサーバーのような「事業者側の自動対応」に頼れないケースが多く、自分で状況を確認して対応する必要があります。このページでは、何が起きているのか、自分のサイトが対象かどうかの確認方法、そして実際のアップデート手順と、更新作業でつまずきやすいポイントを、初心者の方にもわかるようにまとめます。

何が起きているのか（概要）

今回問題になっているのは、WordPress本体に見つかった2つの脆弱性（CVE-2026-60137、CVE-2026-63030）です。この2つを組み合わせた攻撃手法が「wp2shell」と呼ばれています。

ポイントは次の3つです。

ログインや管理者権限が不要：通常、サイトを乗っ取るには管理者アカウントの情報が必要になることが多いですが、今回はその前提が不要です。標準的な構成のサイトであれば、特別なプラグインを入れていなくても影響を受ける可能性があります。
すでに悪用が確認されている：米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が管理する、実際に悪用が確認された脆弱性の一覧「KEVカタログ」にも掲載されており、攻撃の実証コードも公開済みです。今後、悪用が広がる可能性があります。
影響を受けるバージョンが幅広い：WordPress 6.8系・6.9系・7.0系の一部が対象です。

対象バージョンと修正バージョン

状態	バージョン
影響を受ける	6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1
修正済み	6.8.6、6.9.5、7.0.2

現在使用しているWordPressのバージョンが上記の「影響を受ける」範囲に入っている場合は、できるだけ早く修正済みのバージョンへアップデートしてください。

なぜ「さくらVPS」利用者は特に注意が必要なのか

Xserverやロリポップ、さくらの「レンタルサーバ」（VPSとは別のシェアード型サービス）といった事業者は、サーバー側での通信遮断や、自動アップデートの案内など、事業者としての対応をすでに発表しています。

一方で、さくらのVPSはroot権限を持つ自分専用のサーバーです。WordPressの動作環境（Apache/Nginx、PHP、データベースなど）もすべて自分で構築・管理しているはずなので、こうした「事業者側の防御」は基本的に働きません。つまり、

WordPress本体の自動更新が有効になっているかどうかも自分次第
更新が失敗していても、誰も教えてくれない
KUSANAGIなどの環境構築ツールを使っている場合、そのツール特有の設定が影響することもある

という点を理解した上で、自分の目でバージョンを確認する必要があります。

自分のサイトが対象か確認する方法

方法1：管理画面から確認する

WordPressの管理画面にログインします。
左メニューの「ダッシュボード」→「概要」を開くか、「更新」画面を開きます。
表示されているバージョン番号を確認します。

表示されているバージョンが「6.8.0〜6.8.5」「6.9.0〜6.9.4」「7.0.0〜7.0.1」のいずれかに当てはまる場合は対応が必要です。

方法2：SSH（WP-CLI）で確認する

VPSでは、サーバーに直接ログインして確認することもできます。WP-CLIを導入している場合は、WordPressをインストールしているディレクトリで次のコマンドを実行するとバージョンが表示されます。

wp core version

実際の更新方法

手順A：管理画面から更新する（もっとも簡単）

管理画面の「ダッシュボード」→「更新」を開きます。
「今すぐ更新」ボタンが表示されていれば、それをクリックします。
更新が完了するまで、画面を閉じずに待ちます。
完了後、再度バージョンを確認し、6.8.6／6.9.5／7.0.2以降になっていればOKです。

手順B：SSH（WP-CLI）から更新する

コマンド操作に慣れている方であれば、WP-CLIでの更新が確実です。

wp core update
wp core version

万が一、管理画面上で「今すぐ更新」ボタンが出てこない・グレーアウトしている場合は、ファイルの書き込み権限（パーミッション）の問題や、ディスク容量不足が原因になっていることがあります。この場合はSSHでの更新や、サーバー側の設定確認が必要です。

更新前に必ずやっておくこと：バックアップ

セキュリティ修正だけを含む今回のような小規模な更新は、大きな機能追加を伴う更新に比べると、動作が大きく変わって表示が崩れるリスクは小さめです。とはいえ、何が起きても復旧できるよう、更新前には次のバックアップを取っておくと安心です。

WordPressのファイル一式（wp-contentsフォルダを含む）
データベース（mysqldumpコマンドや、利用しているバックアップツール）

VPSでは自動バックアップの仕組みが標準で用意されていない場合もあるため、契約しているバックアッププランの有無や、cronで定期バックアップを組んでいるかを、この機会に確認しておくとよいでしょう。

更新作業でつまずきやすいポイント

「プラグインを入れていないから大丈夫」ではない

今回の脆弱性はプラグインではなくWordPress本体の問題です。プラグインを最小限にしていても、テーマがシンプルでも、対象バージョンであれば影響を受けます。「うちは大丈夫」と思い込まず、必ずバージョンを確認してください。

自動更新が無効になっていることがある

WordPressには本来、セキュリティ修正のような小規模な更新（マイナーアップデート）を自動的に適用する仕組みがあります。ただし、wp-config.phpに次のような設定が入っていると、自動更新が無効化されている場合があります。

define( 'WP_AUTO_UPDATE_CORE', false );

KUSANAGIなど特定の構築ツールを使っている場合や、過去に何らかの理由でこの設定を追加したことがある場合は、自動更新任せにせず、手動でバージョンを確認する習慣をつけましょう。

更新が途中で失敗する

VPSでは、ディスク容量不足やパーミッションの設定によって更新が途中で止まってしまうことがあります。「更新に失敗しました」といったエラーが出た場合は、原因を切り分けて対処する必要があります。心当たりがある方は、当サイトの以下の記事もあわせてご覧ください。

更新後の動作確認を忘れない

アップデート後は、次の点を必ず確認しましょう。

トップページが正常に表示されるか
管理画面にログインできるか
問い合わせフォームなど、よく使う機能が動作するか

問題が出た場合も、慌てずにバックアップから復旧できるようにしておくと安心です。

サイト運用を制作会社・保守会社に任せている場合

サイトの管理を外部に委託している場合は、自分で操作せず、次のように問い合わせて確認してもらいましょう。

今回のWordPress脆弱性（wp2shell）へのアップデート対応は完了しているか
現在のWordPressのバージョンはいくつか

まとめ

WordPress本体に「wp2shell」と呼ばれる深刻な脆弱性が見つかり、すでに悪用が確認されている
ログイン不要・管理者権限不要で悪用される可能性があり、標準構成のサイトも対象
対象バージョンは6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1で、6.8.6／6.9.5／7.0.2で修正済み
さくらVPSはレンタルサーバーと違い自動対応に頼れないため、自分でバージョン確認・更新を行う必要がある
更新前にバックアップを取り、更新後は動作確認も忘れずに行う

対象バージョンを使用している方は、この記事を参考に、できるだけ早く対応を済ませてください。

なお、長い間更新していないサイトの場合、プラグインなどのアップデート時「cURL error 60: SSL certificate problem: unable to get local issuer certificate」というエラーがでて更新ができない状態となります。

WordPressが内部で安全なHTTP通信を検証に使われている証明書が古いことが原因でエラーが表示されています。

/wp-includes/certificates/ca-bundle.crt を以下のURLからダウンロードして、差し替えを行うことで解消されます。念の為元のファイルをバックアップしたうえで差し替えてみてください。
https://raw.githubusercontent.com/WordPress/WordPress/master/wp-includes/certificates/ca-bundle.crt

参考リンク