2026年7月中旬にかなり騒がれたWordpressの脆弱性。対応に追われたWeb担当者もかなり多くいたと聞いています。
今回は少し特殊な件ではありますが、こういったことがあるときまって「Wordpressは危ない」「オワコン」と言われたりするのですが、何が本当に危険なのかきちんと考える必要があるなと思っています。
2026年7月に発表されたWordpressの脆弱性について
今回発表された脆弱性は、簡単に言うと「乗っ取り」が出来てしまうものとなります。
WordPressのコア機能に存在していた、通称wp2shellという重大な部類の脆弱性です。
ニュースサイトやSNSでも大々的に取り上げられ、普段目にしない方も目に留まった内容かと思います。
めずらしくXserverでもWebサイト以外のSNSでも大きく注意喚起していました。
2026年7月中旬の他にも、2026年9月上旬現在追加で何度かのセキュリティアップデートも出ています。
脆弱性の内容について詳しくはこちら(Xserverのお知らせ)をご覧ください。
対象のバージョンを使用している場合
今回の脆弱性に対するアップデートが必要なWordpressのバージョンは以下となります。
- WordPress 6.9.0～6.9.4
- WordPress 7.0.0～7.0.1
- WordPress 6.8.0～6.8.5(今回の脆弱性の一部のみ対象)
該当のバージョンを使用している場合は、早急なアップデートが推奨されていますので、出来るだけ早く対応した方がいいです。
もちろん今回のアップデートの対象ではないから安全というわけではありません。
古いバージョンを使用し続けていると、最新版では修正されている脆弱性がそのまま残っている状態になりますので、今回の脆弱性以上のリスクが残っている状態となります。
WordPressのアップデートについて
WordPressをアップデートするには、大きく分けて手動でするか自動でするかの2種類となります。
ここでの各アップデート方法の解説は割愛させていただきますが、Google等での検索でいろいろと情報が出てきますので参考にしてみてください。
自動アップデート
WordPress管理画面の「ダッシュボード」→「更新」から可能です。
初期設定ではマイナーアップデートのみになっているかと思いますが、メジャーアップデートの更新・自動更新も可能です。
手動アップデート
自身で最新版のWordpressに差し替えて更新する方法です。
WordPressのファイル構造などを理解していないと大変かと思いますが、こちらで出来るようになることを私は推奨します。
アップデート時の注意点
WordPressをアップデートすると、既存のテーマやプラグインなどが対応していない場合やエラーが出てしまう場合があります。
必ず全ファイル&データベースのバックアップを取るようにしてください。
ファイルに関してはFTP等でファイルをダウンロードし、データベースについては各サーバーの管理画面から、またはデータベースの管理ツールである「phpmyadmin」などを入れてバックアップを取る必要があります。
結局何が安全なのか？
冒頭でもお話しましたが、こういった脆弱性があるとWordpressは危ない、他のツールを使用するべきだと話が毎回持ち上がってきます。
WordPressよりいいツールがあるというのも分かりますし、案件でWordpress指定されている場合もあります。
もちろん使用するツールでセキュリティがしっかりしているなどの違いもありますが、結局の所はどのツールでも管理する側の問題が大きいと思います。
そうは言っても以下のように思い通りに最新バージョンを保つことが出来ない事もあります。
- WordPressのバージョン指定がある
- 自動アップデートを停止させている
- 検証・更新・修正の為の費用が出ない
など、私自身が関わった案件でも上記のような内容でアップデート出来ていないサイトもあるのが現状です。
脆弱性の発表があった際にいくつかのサイトをアップデートを実行しましたが、ログ等の確認も含め、私の関わる範囲では今回の脆弱性を使用した被害はありませんでした。
自身が使用する分に関しては随時アップデートをしていけばいいかと思いますが、案件の場合は相手側へのセキュリティ対策としての懸念、対応する場合の費用など、きちんと説明の上で管理していくことが必要かと感じた今回の一件です。
さいごに
いかがでしたでしょうか。
今回は、Wordpressの脆弱性と管理運用に関しての私見を少し述べさせてもらいました。
どう感じ、何を実施するかは自分次第かと思いますが、少しでもWeb制作者の苦難が減ってほしいと思った次第です。
