その「自動更新されてるはず」、本当に確認しましたか?WordPressの重大な脆弱性の話
くりまろ、こないだサーバー会社から「重大な脆弱性が見つかりました」ってメール来たんだけど…うちのブログ、大丈夫かな?プラグインとかほとんど入れてないんだけど。
あ、それ「wp2shell(ダブリューピーツーシェル)」って呼ばれてる話だね。プラグインを入れてない標準的なサイトも対象になるやつだから、「関係ない」で済ませちゃダメなやつだよ。
wp2shellって結局何?
プラグイン入れてなくても危ないって、どういうこと!?
2026年7月17日に、WordPress本体そのものに欠陥が見つかったんだ。イメージで言うと、「家の鍵をかけていても、玄関のドア自体に壊れた部分があった」みたいな感じかな。ログインもパスワードも必要なく、外部から勝手に操作されてしまう可能性があるんだよ。危険度が高いから、WordPress側も異例の「強制自動更新」をかけて、修正版の「WordPress 7.0.2」などを公開したんだ。
「自動更新されてるはず」って思ってたけど、それだけで安心しちゃダメなの?
そこが今回いちばん伝えたいところなんだ。実はその後、実際にこの弱点を悪用する動きが確認されて、アメリカの政府機関(CISA)が「もう悪用されている脆弱性」のリストにこれを追加したんだよ。だから「自動更新の設定はオンにしてるから大丈夫」で終わらせずに、実際に更新が終わっているかを自分の目で確認するのが大事なんだ。
今すぐやること:自分のサイトのバージョンを確認しよう
じゃあ、何を確認すればいいの?私、専門用語わからないんだけど…
大丈夫、管理画面だけで確認できるよ。手順はこれだけ。
- WordPressの管理画面にログインする
- 左メニューの「ダッシュボード」→「更新」を開く
- 表示されているバージョン番号を確認する
実際に私のブログの管理画面を確認したところ。バージョン7.0.3であることが分かります。
今回の対象範囲と、安全なバージョンの目安はこちら。
- WordPress 6.9.0〜6.9.4、7.0.0〜7.0.1 → 対象。至急7.0.2または6.9.5への更新が必要
- WordPress 6.8.0〜6.8.5 → 一部の弱点の対象。6.8.6への更新が必要
- WordPress 7.0.2、6.9.5、6.8.6以上 → 対応済み
ConoHa WINGを使っている人への朗報
私、ConoHa WINGでこのブログもさいとう塾のサイトも運営してるんだけど、そういう人はどうしたらいい?
そこは心強いポイントだよ。ConoHa WINGは今回の件を受けて、WordPress本体の自動更新が有効なサイトには順次適用したとアナウンスしているし、SiteGuard WAFという防御機能を有効にしているサイトは、この攻撃を自動でブロックする対応も取ったって案内してるんだ。とはいえ「自動更新が有効になっているか」自体はサイトごとの設定次第だから、さっきの手順で自分のサイトのバージョンを直接確認しておくのがいちばん確実だよ。
確認のついでに、まさかの発見
確認してみたら、ブログもさいとう塾のサイトもバージョンはちゃんと最新になってた。ホッとして、せっかくだからプラグインとか全体もついでに見てみたの。
それ、すごくいい習慣だね。何か見つかった?
ダッシュボードに、こんな警告が出てたの。「過去30日間に11件の失敗メールを検出しました」って。
ブログのダッシュボードに表示されていた警告。実は問い合わせフォームからのメールが、ずっと届いていなかったということです。
それは見つかってよかった…!ブログの問い合わせフォームからメールが来ないままだったら、読者さんからの連絡に気づけなかったかもしれないよ。原因は分かった?
実は、さいとう塾のサイトの方でも少し前に同じような問題があって、Googleアカウントとの連携が切れていたのが原因だったの。「もしかしてブログも同じかも」と思って確認したら、案の定だった。
それ、大事な気づきだね。メールを送る仕組みの中には、Googleのアカウントと連携して安全に送信する仕組みがあるんだけど、この連携が何かのタイミングで切れてしまうことがあるんだ。1つのサイトで問題が見つかったら、「同じ仕組みを使っている他のサイトは大丈夫かな?」と横展開で確認する視点、すごく大事だよ。
直し方は難しくない
直すの、難しいのかと思ったら意外と簡単だった。
- メール送信の設定画面で、Googleとの接続を一度解除する
- もう一度Googleアカウントで認証し直す
- テストメールを送って、ちゃんと届くか確認する
再接続後に表示された「正常にリンクしました」のメッセージ。この後、実際に問い合わせフォームからテスト送信して、Gmailに届くことも確認しました。
実際に問い合わせフォームから送ったテストメールが、無事Gmailに届きました。
ちゃんとテスト送信まで確認したのは偉いね!設定を直しただけで満足せず、実際に動くかどうかまで確かめるのが一番確実だよ。
まとめ:今日やることリスト
- WordPress管理画面の「更新」でバージョンを確認する
- 対象バージョン(6.9.0〜6.9.4、7.0.0〜7.0.1、6.8.0〜6.8.5)なら今すぐ更新する
- ConoHa WING利用者も、自動更新任せにせず一度は自分の目で確認する
- ついでにダッシュボードの警告表示にも目を通す。メール送信エラーなど、思わぬ問題が見つかることがある
- 複数のサイトを運営している人は、1つで見つかった問題が他のサイトでも起きていないか確認する
「プラグインを入れていないから安心」という思い込みが、今回いちばんの落とし穴でした。難しい専門知識がなくても、管理画面を数回クリックするだけで確認できます。そしてセキュリティの確認は、思わぬ形で他の不具合に気づくきっかけにもなります。まずは自分のサイトのバージョンを見てみることから始めてみてください。
コメント