wp2shell、広範囲のWordPressサイトが対象か
見出し
wp2shellは、WordPress本体の二つの脆弱性、具体的にはSQLインジェクション（CVE-2026-60137）とREST APIバッチ処理の不備（CVE-2026-63030）を組み合わせた攻撃です。これにより、特別なプラグインを導入していない標準構成のサイトでも影響を受ける可能性があるといいます。
影響を受けるバージョンはWordPress 6.9.0〜6.9.4および7.0.0〜7.0.1とされています。SQLインジェクション単体では6.8.0〜6.8.5も対象となります。修正版は7.0.2、6.9.5、6.8.6が既に公開されています。国内のレンタルサーバー各社も7月19日以降、注意喚起や対応を相次いで発表しています。
URL入力で影響を瞬時に確認
「wp2shell 影響チェック」は、サイトのURLを入力し、「チェックする」ボタンを押すだけで、影響を受けるバージョンか、どのバージョンへ更新すべきかを画面で確認できます。判定の根拠となる検出シグナルもあわせて表示されるといいます。
同社は、登録不要で無料で利用できる点を強調しています。対象サイトへのアクセスは公開情報の受動的な取得のみであり、攻撃的なアクセスは一切行わないとしています。
ただし、バージョン情報を隠しているサイトでは判定できない場合があり、その際に「安全」と表示することはないといいます。また、サイトが既に侵害されているかどうかの調査はできないため、注意が必要です。利用者は自身が管理するサイトの確認に限定するよう呼びかけています。
wp2shell 影響チェック（無料・登録不要）は以下のURLから利用できます。
自動更新の有無が明暗を分ける
今回のwp2shellへの対応では、「修正版の公開から、自身のサイトに適用されるまでの時間」が重要であったと同社は指摘しています。自動更新が有効なサイトには修正版が自動で適用された一方、無効にしているサイトでは手動での対応が必要となりました。過去の更新で表示崩れや不具合を経験したサイトでは、自動更新を無効にしているケースも少なくないといいます。
AIが検査するWordPress更新代行サービス「PatchOn」
株式会社ロケッタは、WordPressの更新における課題を解決するため、AIを活用した更新代行サービス「PatchOn（パッチオン）」を提供しています。同サービスは、本番と同じ構成をステージング環境に再現し、更新適用後のスクリーンショット比較や主要機能のテストを実行します。全検査をパスした更新のみを本番サイトへ自動反映する仕組みです。問題が見つかった場合はAIが自動修正し、万一の際にはWordPress管理画面からワンクリックで復元できるといいます。
社内検証では、WordPress更新時に発生する代表的な不具合82パターンに対し、AIが100%自動修正できたことを確認しているとしています。無料プランでは、月1回の検査つき自動更新を利用できるといいます。プラグインはWordPress.orgで公開中です。
WordPress更新代行AI「PatchOn」の詳細はこちらです。
「明暗を分けたのは『時間』でした」代表コメント
株式会社ロケッタ 代表取締役の清水風音氏は、今回のwp2shellについて、「明暗を分けたのは、高度なセキュリティ対策ではなく、修正版が出てから自分のサイトに当たるまでの時間でした」とコメントしています。また、「『確認もせずに更新が当たるのは怖い』という感覚も、大型更新でサイトが崩れた経験のある方なら当然のものだと思います」と述べ、まずは影響の有無を確かめてもらうために無料ツールを公開したとしています。その上で、更新作業そのものを「検査してから自動で」へと変えていくことがPatchOnの役割であると考えているといいます。
関連情報として、wp2shellへの対応手順をレンタルサーバー利用者向けにまとめた解説記事も公開されています。
株式会社ロケッタ 会社概要
-
会社名：株式会社ロケッタ
-
代表者：代表取締役 清水 風音
-
所在地：東京都渋谷区渋谷3-1-9 渋谷YAZAWAビル3階
-
設立：2015年12月
-
事業内容：WordPress更新代行AI「PatchOn」の開発・提供
ソース元
-
WordPressの緊急脆弱性「wp2shell」、影響の有無をURLだけで確認できる無料チェックツールをPatchOnが公開