読みもの · 2026-09-10
この夏、WordPressで何が起きたか
「プラグインさえ気をつけていれば」で済んでいた話が、本体まで来ました。何が変わったのか、日付を追って書いておきます。
7月17日
WordPress本体に、2つの欠陥を組み合わせるとログインなしで乗っ取れる穴が公表されました。通称 wp2shell。プラグインを入れていなくても、標準のまま使っているサイトが対象です。深刻度は10点満点で9.8でした。
運営元はめったにやらない強制の自動更新をかけました。Cloudflareは同じ日のうちに、無料プランのサイトにも防御ルールを配っています。翌日には攻撃用のコードが出回り、その週末は日本は三連休でした。エックスサーバーは該当する通信を遮断して、7月末から8月末にかけてサーバー側で強制的に更新しています。さくらインターネットは注意喚起を出したうえで、対応は利用者側で、という立場でした。IPAは7月22日、JPCERT/CCは7月23日に注意喚起を出しています。
そのあとも続いた
8月6日と8月12日にも、本体の緊急リリースが出ました。1か月に3回は近年なかったことです。8月19日には、600万サイトが使うElementor Proの欠陥が公表されて、その日のうちに攻撃が始まりました。8月の半ばからは、国内のサイトに「Hacked by CoupDeGrace」と書き換えられた画面が並び始めています。上場企業のサイトも含まれていました。
もうひとつ、プラグインの正規の更新にこっそり裏口が混ぜられていた事件が2件ありました。開発元が侵入されたものと、買収されたあとに仕込まれたものです。「更新していれば安全」という前提が、少し崩れました。
全員がやめる話ではないと思います
守ってくれた会社もあります。エックスサーバーの強制更新や、Cloudflareの無料での防御がそうです。更新を続けられているサイトは、WordPressのままで問題ないはずです。
困るのは、更新する人がいなくなったサイトと、保守を誰にも頼んでいないサイトです。この診断は、そこがどうなっているかを外から確かめるために作りました。