WordPressの重大な脆弱性、現在も悪用が進行中#
複数のサイバーセキュリティ企業が警告を発している。パッチが提供済みにもかかわらず、古いバージョンのWordPressを使用するウェブサイトへのハッキングが現在進行形で行われており、数千万規模のサイトが依然として危険にさらされている可能性がある。
問題の概要：何が起きているのか#
先週、WordPressは2件の重大なセキュリティ上の欠陥にパッチを適用し、ソフトウェアを「直ちに」アップデートするよう呼びかけた。脆弱性の深刻度は非常に高く、可能な場合は強制アップデートも実施された。
しかしそれ以降、サイバーセキュリティ企業のPatchstack、Hexastrike、WatchTowrの3社が、これらの脆弱性が実際の攻撃に悪用されていることを確認・警告した。攻撃者は、まだ脆弱なバージョンを使用しているサイトを標的にしてウェブサイトを乗っ取っているという。
影響を受けるバージョン#
脆弱性の影響を受けるWordPressのバージョンは以下の通りだ。
- 6.9.0 〜 6.9.4
- 7.0.0 〜 7.0.1
WordPress公式の統計によれば、これらの脆弱なバージョンを使用しているウェブサイトは4億以上に上るとされている。ただし、この数字は最近パッチを適用したサイトが反映されていない可能性があると記事は指摘している。
実際の危険にさらされているサイト数は？#
サイバーセキュリティコンサルタントのDaniel Card氏は、約3,500件のWordPressサイトを調査したサンプル調査を実施。その結果、脆弱な状態にあるサイトは15%未満と推計した。この割合をWordPress全体のサイト数に当てはめると、依然として約9,000万サイトが危険にさらされている計算になる。
脆弱性の詳細：WP2Shellとは#
2件の重大な脆弱性のうちの1つは、サイバーセキュリティ企業Searchlight CyberのAdam Kues氏が発見・報告したもので、同社はこれを「WP2Shell」と命名した。この脆弱性ともう1件の脆弱性を組み合わせることで、攻撃者は脆弱なウェブサイトを完全にリモートコントロールできる状態になるという。つまり、サイトの乗っ取りが実質的に可能になる非常に危険な組み合わせだ。
被害が限定的にとどまっている理由#
Card氏は、現時点でハッキング可能なサイト数が限られている理由として、以下の3点を評価している。
- WordPressによる自動アップデートの展開
- Cloudflareによる脆弱サイトへの攻撃ブロック
- ウェブファイアウォールなどのセキュリティ保護の活用
また、Automattic（WordPress.comを運営し、オープンソースプロジェクトにも貢献する企業）の広報担当者Megan Fox氏は、TechCrunchに対して次のように述べた。「WordPress.com、Pressable、WPVIP、WP.cloudパートナーを含む、Automatticがホスティングするすべてのサイトは、リリース前からすでに保護されていた。コードのアップデートが公開された際、数百万のサイトに即座に展開した」とコメントしている。
なぜこのニュースが重要なのか#
WordPressはインターネット上で圧倒的なシェアを持つCMS（コンテンツ管理システム）であるため、その脆弱性が悪用されると影響範囲が非常に広くなる。今回の事例では、パッチが提供された後も攻撃が継続しているという点が深刻だ。セキュリティパッチが配布されても、すべてのサイト管理者が即座に対応できるわけではなく、その「タイムラグ」が攻撃者に悪用されている。
まとめ#
WordPressの重大な脆弱性（バージョン6.9.0〜6.9.4および7.0.0〜7.0.1）を悪用したハッキングが現在も進行中であり、推計で数千万サイトがリスクにさらされている。Automatticホスティング環境は保護済みとのことだが、自己ホスト型のWordPressサイトを運営している場合は、速やかに最新バージョンへのアップデートを確認することが重要だ。
筆者の見解: パッチ適用後も攻撃が継続するという今回のケースは、自動アップデートの普及やCloudflareのような保護レイヤーの重要性を改めて示している。WordPressサイト管理者は、自身のサイトのバージョンを今すぐ確認することを強くお勧めしたい。
出典: Hackers are exploiting recently patched WordPress bugs, putting millions of websites at risk (TechCrunch, Lorenzo Franceschi-Bicchierai, 2026年7月20日)
