WordPress Core の未認証脆弱性チェーン「wp2shell」への攻撃検知が急増── 公表当日に前日比277倍、9日間で累計約195万件を検知

株式会社サイバーセキュリティクラウド
グローバルセキュリティメーカーの株式会社サイバーセキュリティクラウド（本社：東京都品川区、代表取締役社長 兼 CEO：小池敏弘、以下「当社」）は、世界中の多くのウェブサイトで使われているソフトウェア「WordPress」の中核部分に見つかった、2つの弱点（脆弱性）を組み合わせた攻撃「wp2shell」について、当社が観測した攻撃データをもとにした分析を発表します。修正版公開当日、当社が観測するbatch エンドポイント宛の通信は前日の17件から4,704件へ、約277倍に急増し、以降9日間で累計約195万件を検知しました。

2026年7月18日（日本時間）、この2つの弱点を修正するアップデートが公開されました。ところがその当日から、この弱点を狙った通信が前日の17件から4,704件へ、約277倍に急増し、その後9日間で累計約195万件にのぼりました。専門機関の間でもこの弱点の危険度評価が大きく割れるという注目すべき動きもありました。
本リリースでは、その内容をできるだけ分かりやすくお伝えします。技術的な詳細や検知データの詳しい分析は、本編レポート（https://www.cscloud.co.jp/news/report/202608049157/）をご覧ください。

≪ポイント≫
修正版が公開された7月18日から26日までの9日間で、この弱点を狙った通信を累計約195万件検知しました。
修正版が公開された当日は、前日の17件から4,704件へ、約277倍に急増しました。
攻撃の発信元はアメリカが約3割を占める一方、他の多くの国からも少しずつアクセスがあり、発信元だけを見て遮断する対策では防ぎきれない可能性があります。
弱点の危険度を点数化する仕組みでは、専門機関によって評価が大きく分かれました。単に評価が割れたことにより、「弱点を1つずつ単体で採点する仕組みでは、複数の弱点の組み合わせで生まれる本当の危険度を見落とすことがある」という点が重要です（詳しくは後述）。
■「wp2shell」 とは？（分かりやすく解説）
WordPress のサイトには、外部からの複数の指示をまとめて処理する「窓口」のような仕組みがあります。今回見つかった1つ目の弱点は、この窓口が複数の指示をまとめて処理する際に、チェックミスが起きるというものです。本来、管理者専用の鍵のかかった部屋に入るには本人確認が必要ですが、このミスを悪用すると、確認をすり抜けて中に入れてしまいます。
2つ目の弱点は、サイトの検索の仕組みに関するものです。本来は決まった形式のデータしか受け付けないはずの入力欄に、想定外の形式のデータを送りつけると、チェックがまるごと素通りしてしまい、外部の人がデータベースの中身（パスワードを変換して保存した情報（ハッシュ値）など）を覗き見できてしまいます。
この2つの弱点を順番に組み合わせることで、攻撃者は「鍵のかかった部屋に忍び込み → 中にあった鍵（パスワード）を盗み出し → その鍵で正面から堂々と入り、サイトを乗っ取る」ということができてしまいます。これが「wp2shell」と呼ばれる攻撃の正体です。

■攻撃の急増ぶりを数字で見る
当社では、この弱点を狙った通信の件数を毎日記録していました。修正版が公開される前の7月1日～17日は、1日あたり多くても数十件程度で、17日間の合計でも378件にとどまっていました。
ところが、修正版が公開された7月18日、この通信は一気に4,704件まで増え、前日の17件と比べて約277倍という急増ぶりでした。しかもそこで収まらず、以降も増え続け、7月26日には1日で576,756件を記録しました。7月18日から26日までの9日間だけで、合計は約195万件にのぼります。
修正版が公開されたその日から、攻撃者がこの弱点を狙い始めたことがうかがえます。悪用の情報が広まると、攻撃の試みは一気に、かつ長く続く、ということを示す結果になりました。




■「危険度の点数」だけでは測れなかったリスク
-株式会社サイバーセキュリティクラウド セキュリティエンジニア考察-
脆弱性には、危険度を10点満点で採点する「CVSS」という共通のものさしがあります。今回、2つの弱点のうち、ある専門機関からは5.9点（中程度）と評価されていました。ところが別の専門機関（米国政府機関のCISA）は、同じ弱点を9.1点（緊急）と評価しており、評価が大きく割れました。
ここで大事なのは「どちらの点数が正しいか」ではありません。公表される個別スコアは単体評価が基本であり、連鎖を前提としたスコアは通常付与されにくい仕組みです。ところが今回のように、2つの弱点を組み合わせて初めて重大な被害（サイトの乗っ取り）につながるケースでは、単体の点数だけを見ていると、本当の危険度を見落としてしまう可能性があります。単体では「中程度」に見えた弱点が、別の弱点と組み合わさることで「緊急」レベルの被害を引き起こす、今回のwp2shellは、まさにその典型例だったといえます。


■今すぐできる対策
- WordPress を使っているサイト運営者の方は、以下の対応をおすすめします。
- WordPress を修正版（7.0.2 / 6.9.5 / 6.8.6 のいずれか、利用しているバージョンに応じたもの）に更新する。
- 自動更新の設定が有効になっているか、実際に更新が反映されているかを確認する。
- すぐに更新できない場合は、WAF（Webサイトへの攻撃を検知・遮断する仕組み）などで一時的に外部からの怪しいアクセスを制限する。
- 見覚えのない管理者アカウントや、身に覚えのないファイルがないか確認する。
- アクセスログを保存しておき、必要な場合の調査に備える。
- サイトの乗っ取りが疑われる場合は、専門家に相談することをおすすめします。




詳細な検知データ・技術分析は本編レポートをご覧ください。
レポート名「［2026年7月度　脆弱性起因　攻撃検知速報］（CVE-2026-63030 / CVE-2026-60137）」


株式会社サイバーセキュリティクラウド（https://www.cscloud.co.jp）
所在地　：〒141-0021　東京都品川区上大崎3-1-1 JR東急目黒ビル13階
代表者　：代表取締役社長 兼 CEO 小池 敏弘
設　立　：2010年8月
「世界中の人々が安心安全に使えるサイバー空間を創造する」をミッションに掲げ、世界有数のサイバー脅威インテリジェンスを駆使したWebアプリケーションのセキュリティサービスを軸に、脆弱性情報収集・管理ツールやクラウド環境のフルマネージドセキュリティサービスを提供している日本発のセキュリティメーカーです。私たちはサイバーセキュリティにおけるグローバルカンパニーの1つとして、サイバーセキュリティに関する社会課題を解決し、社会への付加価値提供に貢献してまいります。