SMART›Web制作›WordPress 7.0.2の緊急脆弱性｜企業サイトが今すぐ確認すべき3つのこと
WordPress 7.0.2の緊急脆弱性｜企業サイトが今すぐ確認すべき3つのこと
目次
こんにちは、株式会社Galaxiaです。2026年7月17日、WordPressのセキュリティ更新版「WordPress 7.0.2」が公開されました。今回修正されたのは、重要度が「Critical（緊急）」と「High（高）」に分類された2件の脆弱性です。
「WordPressで作られたサイトは危ないのでは」と不安になった方もいるかもしれません。
しかし、WordPressそのものが急に使えなくなったわけではありません。今、確認すべきなのは次の3点です。
- 自社サイトが対象バージョンに該当していないか
- 安全なバージョンへの更新が完了しているか
- すでに不正アクセスを受けた形跡がないか
この記事では、専門的な仕組みの解説ではなく、企業の経営者やWeb担当者が今すぐ判断・確認すべきことに絞ってお伝えします。
※この記事は、2026年7月27日時点で公開されている情報をもとに作成しています。
今回、WordPressで何が起きたのか
今回の更新では、WordPress本体に見つかった次の2件の脆弱性が修正されました。
- SQLインジェクションにつながる脆弱性（CVE-2026-60137）
- REST APIの処理の混乱を利用し、別の脆弱性と組み合わせることで遠隔から不正なコードを実行できる脆弱性（CVE-2026-63030）
1件目は、条件がそろうとWordPressが使用するデータベースへ不正な命令を送り込まれる可能性がある問題です。
さらにWordPress 6.9系と7.0系では、2件の脆弱性を組み合わせることで、ログインしていない攻撃者がサーバー上で不正なコードを実行できる可能性があります。サイトの改ざんや情報の窃取、管理者権限の悪用などにつながりかねません。
WordPress公式は、対象サイトに対して即時の更新を推奨しています。問題の重要度を踏まえ、対象バージョンには自動更新も実施されていますが、すべてのサイトで正常に更新が完了しているとは限りません。
また、米国の政府機関CISAは、2件の脆弱性を「実際の攻撃で悪用が確認された脆弱性」の一覧に追加しています。
つまり、今回の問題は理論上のリスクではありません。WordPressを利用している企業は、自社サイトの状態を実際に確認する必要があります。
用語ポイント：脆弱性とは
脆弱性とは、システムやソフトウェアにある「セキュリティ上の弱点」のことです。
家に例えるなら、壊れた鍵や閉まりにくい窓のようなものです。弱点が見つかったら、修理にあたる更新を行う必要があります。
用語ポイント：SQLインジェクションとは
Webサイトが使用するデータベースに、本来は受け付けるべきではない命令を実行させる攻撃です。
攻撃が成功すると、サイトに保存されている情報を見られたり、書き換えられたりする可能性があります。
対象となるWordPressのバージョン
SQLインジェクションの脆弱性が確認されているのは、次のバージョンです。
- WordPress 6.8.0〜6.8.5
- WordPress 6.9.0〜6.9.4
- WordPress 7.0.0〜7.0.1
このうち、遠隔から不正なコードを実行される可能性がある2件の組み合わせは、WordPress 6.9系と7.0系が対象です。
修正済みのバージョンは次のとおりです。
- 6.8系：WordPress 6.8.6
- 6.9系：WordPress 6.9.5
- 7.0系：WordPress 7.0.2
WordPress 6.8より前のバージョンは、今回発表された2件の脆弱性の対象外です。
ただし、古いバージョンだから安全という意味ではありません。 別の脆弱性が残っていたり、プラグインやテーマに問題が見つかっていたりする可能性があります。今回の対象外であっても、長期間更新していないサイトは管理状況を確認する必要があります。
WordPressは使わない方がよいのか
今回の発表だけを見て、「WordPressは危険だから、別の仕組みに変えるべき」と判断するのは早いでしょう。
WordPressに限らず、Webサイトを動かすシステムには継続的な更新が必要です。
危険なのは、WordPressを使うことではありません。誰も管理せず、更新されない状態で放置することです。
制作した時点では問題がなくても、3年、5年と運用する間に、新しい攻撃手法や脆弱性が見つかります。Webサイトは、公開した瞬間に完成するものではありません。公開した瞬間から、運用が始まるものです。
今すぐ確認したい3つのこと
1. 現在のWordPressのバージョンを確認する
WordPressの管理画面にログインし、「ダッシュボード」から「更新」を開きます。現在使用しているバージョンと、利用できる更新が表示されます。
自動更新を設定している場合も、「設定しているから大丈夫」と判断せず、修正版への更新が完了しているかを確認してください。
管理画面に入れない、ログイン情報がわからない、現在の担当者が不明な場合は、サイトを制作した会社や保守会社へ確認しましょう。
この段階で連絡先がわからない場合は、セキュリティ以前に「管理者が不明な状態」になっています。今後の運用体制も含めて整理が必要です。
2. バックアップを取ったうえで更新する
更新前には、サイトのファイルとデータベースの両方をバックアップします。そのうえで、WordPress本体を修正済みのバージョンへ更新してください。
プラグインやテーマにも更新が出ている場合は、内容と互換性を確認したうえで対応します。
更新ボタンを押すだけで完了するサイトもありますが、長期間更新されていないサイトでは、表示崩れや機能停止が起きることがあります。企業サイトや問い合わせにつながる重要なサイトでは、可能であればテスト環境で動作を確認してから本番環境へ反映します。
ただし、不具合が怖いからといって、対象バージョンのまま放置することも危険です。バックアップの取り方や更新後の確認に不安がある場合は、無理に操作せず、制作会社や保守会社などの専門業者へ相談してください。
3. すでに異常が起きていないか確認する
安全なバージョンへ更新できても、それだけで必ず対応完了とは限りません。
更新前に不正アクセスを受けていた場合、不正なファイルや管理者アカウントが更新後も残る可能性があるためです。
次のような異常がないか確認しましょう。
- 身に覚えのない管理者アカウントが追加されている
- 知らないページや投稿が公開されている
- アクセスすると別のサイトへ勝手に転送される
- 検索結果に怪しいタイトルや文章が表示されている
- サイトの表示や動作が急に変わった
- サーバー内に見覚えのないファイルが追加されている
異常が見つかった場合は、更新だけで済ませず、サイト内部やサーバー、アクセスログの調査が必要です。状況によっては、一時的な公開停止、パスワード変更、バックアップからの復旧、関係者への報告なども検討します。
大切なのは「制作」より、その後の運用
Webサイトのセキュリティは、一度対策すれば終わるものではありません。
最低限、次の4点は社内で明確にしておく必要があります。
- 誰が更新情報を確認するのか
- バックアップをいつ、どこに保存するのか
- 異常が起きた際、誰に連絡するのか
- 保守契約にどこまでの対応が含まれているのか
特に注意したいのが、「制作会社が管理していると思っていた」「社内の誰かが見ているはず」といった状態です。
サイトを制作した会社と、現在の管理会社が異なるケースもあります。保守契約を結んでいても、WordPress本体の更新、プラグインの更新、バックアップ、障害対応、改ざん調査がすべて含まれているとは限りません。
大切なのは、保守契約があるかどうかだけではなく、誰が、何を、どこまで管理するのかが決まっていることです。
Webサイトは、作って終わる制作物ではなく、継続して守り、改善していく会社の資産です。
まずは、自社サイトの状態を知ることから
今回の脆弱性をきっかけに、必要以上にWordPressを怖がる必要はありません。
一方で、「よくわからないから何もしない」という判断は危険です。
まずは、次の4項目を確認してみてください。
- 現在のWordPressのバージョン
- 最終更新日
- バックアップの有無
- サイトの保守・管理担当者
この4項目がわかれば、今すぐ更新が必要なのか、専門業者による調査が必要なのか、今後の保守体制を見直すべきなのかを判断しやすくなります。
自社サイトの管理状況がわからない方へ
Galaxiaでは、Webサイトの制作だけでなく、公開後の更新や保守、セキュリティを含めた運用設計についてもご相談を受けています。
- 自社サイトが今回の対象かわからない
- 制作会社との契約範囲が曖昧
- 更新したいが、不具合が起きないか心配
- 誰がサイトを管理しているのかわからない
このような場合は、大きな改修を始める前に、まず現在の状態を把握することが大切です。
参考情報
成果につながる集客導線、設計します
Web制作からAI活用まで。御社の状況に合わせて無料でご提案します。