WordPressの重大な脆弱性（2026年7月）自社サイトは大丈夫？経営者向けに確認手順を解説

2026年7月17日、WordPress本体に重大な脆弱性が公表されました。ログインなどの認証が一切不要で、外部からサイトを乗っ取られるおそれがあるもので、修正版の公開後すでに実際の攻撃も確認されています。

WordPressは国内のホームページで最も使われている仕組みです。特に危険なのは「制作会社に作ってもらったきり、誰も更新していない」サイトです。この記事では、専門知識がない経営者・担当者の方向けに、自社サイトの確認手順を順番に解説します。

今回の脆弱性で何が起きるのか

公表された脆弱性（CVE-2026-63030 / CVE-2026-60137）は、2つの欠陥を組み合わせることで、ログイン情報を知らない第三者が外部からサイトのサーバー上で任意のプログラムを実行できるというものです。深刻度は最高クラス（CVSS 9.8）と評価されています。

乗っ取られた場合に起きうることは次の通りです。

• サイトの改ざん（別サイトへの誘導、ウイルス配布ページ化）
• 問い合わせフォーム等に入力された個人情報の流出
• 迷惑メール送信や他サイト攻撃の踏み台にされる
• 検索結果への警告表示やサイトの検索順位低下

自社に「盗まれて困る情報がない」場合でも、踏み台として悪用されれば取引先や顧客に実害が及びます。放置してよいサイトはありません。

まず確認：自社サイトはWordPressで作られているか

自社サイトがWordPressかどうか分からない場合は、次のいずれかで確認できます。

1. サイトURLの末尾に「/wp-admin/」を付けてアクセスする — ログイン画面が出ればWordPressです（例：https://example.co.jp/wp-admin/）
2. 制作を依頼した会社に聞く — 「うちのサイトはWordPressで作られていますか」の一言で十分です
3. 社内の共有資料を探す — 納品書や引き継ぎ資料に「WordPress」の記載がないか確認します

WordPressでなければ、今回の脆弱性の影響はありません。ただし別の仕組みでも保守されていない状態は同様に危険なので、この機会に管理状況を確認することをおすすめします。

バージョンの確認方法：この数字以上なら対応済み

WordPressだと分かったら、バージョンを確認します。2026年7月時点で安全といえるのは次のバージョン以上です。

バージョンは管理画面（/wp-admin/）にログインし、ダッシュボードの「概要」欄で確認できます。画面右下のフッターにも同じバージョン番号が表示されています。

WordPress側は自動更新の強制適用を実施しているため、すでに修正版へ更新されているサイトも多くあります。ただし、サーバーの設定やカスタマイズが原因で自動更新が止まっているサイトは珍しくありません。「更新されているはず」で済ませず、必ず実際の数字を確認してください。

6.7以前の古いWordPressを使っている場合、今回の修正版は提供されていません。古いバージョンには過去の脆弱性も残っているため、その場で判断せず、制作会社・保守会社・サーバー会社のいずれかへ早急に相談してください。

更新の手順と注意点

バージョンが古かった場合は、次の順番で更新します。

1. バックアップを取る — サーバー会社のバックアップ機能か、保守会社に依頼します。万一表示が崩れた場合に戻すためです
2. WordPress本体を更新する — 管理画面の「ダッシュボード → 更新」から実行できます。レンタルサーバーによっては管理パネルから更新できる場合もあります
3. プラグイン・テーマも更新する — 本体だけでなく、プラグインの脆弱性を狙った攻撃も日常的に発生しています。この機会にまとめて更新します

古いテーマやプラグインが新バージョンに対応しておらず、稀に表示や機能へ影響が出ることがあります。自社での作業が不安な場合は無理をせず、専門の会社へ依頼してください。それでも、今回は「更新して崩れるリスク」より「放置して乗っ取られるリスク」の方がはるかに大きい状況です。

こんなサインがあれば、すでに被害の可能性

以下に心当たりがある場合は、更新だけで済ませず専門家への相談が必要です。

• 見覚えのない管理者ユーザーが追加されている
• サイトの内容が書き換わっている、知らないページが増えている
• サイトを開くと別のサイトへ転送される
• 検索結果に「このサイトは危険です」等の警告が出る

被害が疑われる場合、感染したファイルが残ったまま更新しても解決しません。サーバー会社への連絡と、復旧作業ができる会社への相談を並行して進めてください。

再発を防ぐには：保守の体制を見直す

今回のような脆弱性は、今後も定期的に見つかります。重要なのは「見つかるたびに慌てない体制」です。

• 保守契約がある場合 — 契約内容に「WordPress本体・プラグインの更新」が含まれているか確認してください。相談窓口だけの契約では、今回のようなケースで誰も動きません。確認すべき項目はホームページ保守管理の費用相場と作業内容で解説しています
• 保守契約がない場合 — 月数千円からの保守で「誰も面倒を見ていない」状態は解消できます。費用感はホームページ維持費の相場を参考にしてください
• 更新が長年止まっている場合 — WordPress自体が古すぎて更新できないサイトは、リニューアルの検討時期です。リニューアルのタイミングと判断基準もあわせてどうぞ

なお、弊社が制作で採用しているReact・Next.jsによる構成では、WordPressのような管理システムを外部に公開しない作りにできるため、今回のような「管理画面ごと乗っ取られる」タイプの攻撃を構造的に受けにくいという違いがあります。更新に追われない仕組みを検討したい方は選択肢の一つです。

まとめ

• 2026年7月、WordPress本体に認証不要で乗っ取り可能な重大脆弱性が公表され、実際の攻撃も発生している
• 安全なのは 6.8.6 / 6.9.5 / 7.0.2 以上。管理画面ダッシュボードの「概要」欄で確認できる
• 自動更新で対応済みのサイトも多いが、止まっているサイトもある。必ず実物の数字を確認する
• 6.7以前・被害の兆候あり・ログイン不可の場合は、制作会社かサーバー会社へ早急に相談する

正確な技術情報はWordPress公式のリリースノートを参照してください。