【緊急】WordPress本体に深刻な脆弱性「事前認証RCE」今すぐバージョンを確認してください執筆：車 和哉｜株式会社ONDO 代表取締役・Web制作・運用歴15年 / 高知県で唯一のStudio Expert Certifiedランク / Studio Ambassador投稿日：2026.7.20最終更新日：2026.7.23「WordPressに深刻な脆弱性が見つかった」というニュース、目にした方もいるかもしれません。専門用語が多くて「結局どれくらいヤバいの?」と分かりにくいと思うので、たとえ話を交えながらできるだけ分かりやすく説明します。先に結論だけ言うと、WordPressでサイトを作っている方は、今すぐバージョンを確認してください。本記事は2026年7月20日時点の公開情報に基づいています。状況は流動的なため、最新情報は各セキュリティベンダーやWordPress.orgの公式発表もあわせてご確認ください。■ そもそも何が起きたのかWordPressというサイト作成ソフトの「本体」に、かなり深刻な欠陥が見つかりました。これがどれくらい珍しいことかを説明するために、まず3つのポイントに分けて話します。■ ポイント1：鍵も合鍵も不要で家に入れる普通、泥棒が家に入るには「鍵をこじ開ける」「合鍵を作る」など、何らかの手間が必要です。WordPressの脆弱性も同じで、たいてい「管理者としてログインしている必要がある」「特定のプラグインを入れている場合だけ」といった"条件"がつきます。今回の脆弱性には、その条件が一切ありません。IDもパスワードも要らず、サイトのURL(つまり住所)を知っているだけで、世界中の誰でも侵入できてしまいます。玄関の鍵が最初から壊れていた、というイメージです。■ ポイント2：入られたら「家の乗っ取り」レベル侵入されてどうなるかも重要です。今回は、ただ中を覗かれるだけではなく、家そのものを乗っ取られるレベルの被害が起こり得ます。具体的には、サイトの内容を書き換えられたり、データを盗まれたり、悪意のあるプログラムを勝手に設置されたり、さらにそこを踏み台にして会社の他のシステムにまで侵入されたりする可能性があります。空き巣どころか、家全体を乗っ取られて別の犯罪の拠点にされる、というくらいのレベルです。■ ポイント3:「うちは大丈夫」が通用しないWordPressの脆弱性の多くは「特定のオプション部品(プラグイン)を付けている車だけ危ない」というケースがほとんどです。プラグインを入れていなければ関係ない、というケースが大半でした。しかし今回は違います。欠陥があるのは車そのもの、つまりWordPress本体です。オプションを何も付けていない「素の状態」でも、対象バージョンであれば全車が例外なく該当します。「うちはシンプルな作りだから大丈夫」という逃げ道がないのが、今回の一番怖いポイントです。■ この3つが同時に揃うのは「10年に一度」レベル誰でも簡単に入れる(鍵が壊れている)入られたら乗っ取られる(最悪の被害)全員が対象(オプション関係なし)この3つが同時に揃う脆弱性は、セキュリティの世界でもごく稀にしか起きません。過去には2021年のLog4Shellや、同じく2021年のExchange ProxyLogonという事件がこのクラスにあたり、いずれも世界中で大騒ぎになりました。WordPressは世界のWebサイトの4割ほどで使われていると言われている、いわば"世界で一番使われている家の建築方式"です。その建築方式そのものにこのレベルの欠陥が見つかるのは、10年に一度あるかないかの出来事です。■ 対処法:まずはバージョン確認を自分のサイトが対象かどうかは、WordPressの管理画面からすぐに確認できます。6.9系を使っている方 → 6.9.5へ更新7.0系を使っている方 → 7.0.2へ更新6.8系を使っている方 → 6.8.6という修正版が出ていますWordPress側もこの深刻さを踏まえて、通常なら管理者が自分で行う更新作業を、自動的に強制配信するという珍しい対応を取っています。ただ、自動更新をオフにしている場合は反映されないこともあるので、必ず自分の目で確認してください。すぐに更新作業ができない場合の"応急処置"としては、サイトを守る仕組み(WAF)で以下の2つの入口を両方ふさぐ方法があります(片方だけふさいでも、もう一方から入られてしまうので注意です)。/wp-json/batch/v1?rest_route=/batch/v1外部の業者に運用保守契約を結んでいる事業者様は、早急に運用業者に連絡のうえ、対応を依頼してください。■ なぜ「今すぐ」なのかこの欠陥を見つけたセキュリティ会社(Searchlight Cyber社)は、悪用を防ぐため、最初は詳しい攻撃方法を公表していませんでした。いわば「泥棒に手口を教えないようにしていた」状態です。しかし、発見から数日が経った今、修正パッチを分析すれば手口が分かってしまうため、すでに一部で攻撃コードが公開され、実際に悪用された兆候も報告され始めています。つまり「対策する時間の余裕がある段階」はもう過ぎていて、「今すぐ対応しないと危ない段階」に入っています。日本国内には、企業サイトや自治体、メディアなど、WordPressで作られたサイトが非常に多くあります。特に、サイトの管理を外部の会社に任せっぱなしにしているケースほど、更新が後回しになりがちです。心当たりのある方は、今日、この記事を読んだ今この瞬間に、バージョンを確認してください。この記事を書いた人：車 和哉（株式会社ONDO 代表取締役）高知県土佐市を拠点に、地方・中小企業向けのホームページ制作、リニューアル、運用支援を行う。Web制作・運用に15年従事し、上場系メーカー常駐での設計・制作・運用経験、高知県内のWebマーケティング会社での9年間の支援経験を持つ。現在は、高知県で唯一のStudio Expert CertifiedランクかつStudio Ambassadorとして、更新しやすく、成果につながるWebサイトづくりを支援している。会社情報を見るarrow_forwardホームページの新規制作・リニューアルや集客にお困りごとはございませんか？「何から始めればいいか分からない」「作ったけど反響がない」「更新が止まっている」など、未整理のままでも大丈夫です。オンドが目的と現状を整理し、相談につながる導線と“更新が続く仕組み”まで整えます。ホームページ新規制作初めての制作でも安心。強みの言語化から構成整理、導線設計まで整えて、成果が実るサイトを一からつくります。新規制作の詳細を見るkeyboard_arrow_rightホームページリニューアル情報が複雑になったサイトを整理し、必要な情報にたどり着ける導線へ。WordPress→Studio移行のご相談も可能です。リニューアルの詳細を見るkeyboard_arrow_right株式会社ONDOは、高知県で唯一のStudio Expert Certifiedランクであり、「Studio Ambassador」です。keyboard_arrow_leftブログの一覧へ戻る
