※アフィリエイト広告を利用しています。

Wordpress（ワードプレス

WordPressの脆弱性「wp2shell」攻撃アクセスログを確認した結果と対策方法【Xserver】

WordPressの脆弱性「wp2shell」攻撃アクセスログを確認した結果と対策方法【Xserver】

026年7月にX（旧Twitter）でWordPress（ワードプレス）の脆弱性「wp2shell」が話題となり、多くのサイト管理者が乗っ取り被害を心配しました。

私も運営している5サイト（休眠も含む）を確認したところ、実際にwp2shellによる攻撃ログを確認しました。

しかし、Xserver（エックスサーバ）が実施していた対策により、サイトへの侵入は防がれていました。

この記事では、

  • wp2shellとは何か
  • エックスサーバーで防御してくれた結果
  • 実際に確認した攻撃アクセスログ
  • WordPressの対策方法
  • 乗っ取り確認方法

を備忘録として紹介します。

WordPressの脆弱性「wp2shell」とは？

今回の騒動は、以下の古いバージョンのWordPressに存在する脆弱性を狙ったものです。

wp2shellの影響を受けるWordPressのバージョン

  • WordPress 6.8.0 ～ 6.8.5

  • WordPress 6.9.0 ～ 6.9.4

  • WordPress 7.0.0 ～ 7.0.1

これらのバージョンに対して、以下の脆弱性（CVE）を悪用し、遠隔でコードが実行されてしまう危険性がありました。

  • CVE-2026-60137（GHSA-fpp7-x2x2-2mjf）

  • CVE-2026-63030（GHSA-ff9f-jf42-662q）

なぜ「wp2shell」被害・乗っ取りが広がったのか？

被害が拡大した大きな要因は、

WordPressの脆弱性を実証するコードが公開されてしまったこと

にあります。

これにより、専門的な知識がない者でも脆弱性を狙える状態になってしまったため、大規模な攻撃へと発展しました。

好奇心で素人がしている可能性もありますが大半はBotですね。

「wp2shell」対策はバージョンアップするだけ

この「wp2shell」による乗っ取りを防ぐための根本的な対策は、

WordPressを最新のセキュリティ修正版にバージョンアップすること

です。

詳しい公式情報は、以下の独立行政法人情報処理推進機構（IPA）のページでも解説されています。

WordPressの脆弱性対策について

IPA 独立行政法人 情報処理推進機構
WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell) | 情...
https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html
情報処理推進機構（IPA）の「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」に関する情報です。

結論：wp2shellの攻撃はあったがエックスサーバーが防いでくれた

 

告知から数日経って慌ててWordPressのバージョンアップを行いましたが、

その後にアクセスログを解析したところ、

アップデートの前からwp2shellからの攻撃痕跡が見つかりました。

 

しかし、結果としてサイトが乗っ取ることはありませんでした。

理由は、

エックスサーバー側で事前にwp2shellからのアクセスを遮断してくれていた

からです。

エックスサーバーでは、ユーザーのWebサイトを保護するため、以下のような暫定的なサーバー側対策を迅速に実施してくれていました。

【エックスサーバーの対応内容】 お客様のWebサイトを安全にご利用いただくための暫定的な対策として、本脆弱性の攻撃経路となるREST APIのバッチエンドポイントへの通信を一時的に遮断しております。 （対象サーバー：REST APIのバッチエンドポイント /wp-json/batch/v1 への通信遮断を2026年7月19日 AM6:30頃に実施）

サーバーが盾となって守ってくれたおかげで、最悪の事態を免れることができました。本当に感謝しかありません。

wp2shellの攻撃アクセスログの解析結果

実際にエックスサーバーのコントロールパネルの各サイトのアクセスログをダウンロードて

メモ帳で開いて「batch/v」と検索したところ、多数候補が出てきた中に

wp2shellの攻撃の痕跡がヒットしました。

ログの最後に「wp2shell」の名称があったので「wp2shell」で検索した方が早いかもしれません。

 

2026年7月21日の16時ごろに3回アタックがあったアクセスログの内容が以下の通りです。

www.○○.com 〇.〇.〇.〇- - [21/Jul/2026:15:55:32 +0900] "POST /wp-json/batch/v1 HTTP/1.1" 403 2843 "-" "wp2shell"
www.○○.com 〇.〇.〇.〇 - - [21/Jul/2026:15:55:33 +0900] "POST /?rest_route=/batch/v1 HTTP/1.1" 403 2843 "-" "wp2shell"
www.○○.com 〇.〇.〇.〇 - - [21/Jul/2026:15:55:33 +0900] "POST /?rest_route=/batch/v1 HTTP/1.1" 403 2843 "-" "wp2shell"

これらの中に以下のログがあり

  • wp-json/batch/v1
  • rest_route=/batch/v1 

その意味するところはWordPressのREST APIに備わっている、複数のリクエストを1回でまとめて処理（バッチ処理）するためのエンドポイントとう内容のようです。

そして、そのログの後半に以下が

HTTP/1.1" 403 2843 "-" "wp2shell"

 

とありますが

そのログの意味を読み解くと・・・

「wp2shell」からアタックがあったが拒否した

という内容になっていました。

内容的には以下の通り

  • 403：アクセスが拒否された（ブロック成功）

  • 2843：レスポンスのバイト数

  • wp2shell：WordPressを狙う自動攻撃ツールの識別名

もしの「403」が「200」になっていたら「成功」という意味なるので

侵入されたことになりますので確認が必要です。

コード 意味
403 Forbidden
アクセス権限がないため閲覧が禁止されている
401 Unauthorized
認証が必要（未ログインや認証失敗）
405 Method Not Allowed
許可されていないHTTPメソッド（送信方法）が使われた
429  Too Many Requests
短期間に大量のリクエストが送られたため制限（レートリミット）された
200  OK
リクエストが正常に処理された
404  Not Found:
該当するページやファイルが見つからない
500  Internal Server Error
サーバー内部でエラーが発生した

このように、攻撃ツールからのリクエストに対してエックスサーバー側が「403（アクセス拒否）」を返してくれていたことが確認できました。

wp2shellの対策とWordPressバージョンアップ手順

エックスサーバーの注意喚起を受け、私が実際に行った具体的な対策手順を解説します。

参考にしたのは以下のXサーバの公式Xです。

危険な古いバージョン（6.8.0〜6.8.5、6.9.0〜6.9.4、7.0.0〜7.0.1）に対し、2026年7月17日に修正版（6.8.6、6.9.5、7.0.2）が公開されています。まずは最新版へアップデートしましょう。

WordPressのバージョンアップ手順

  1. WordPress管理画面にログインする

  2. 左メニュー「ダッシュボード」の「ホーム」の「更新」をクリックする

  3. 「WordPressの更新」セクションから「最新版へアップグレード」する

自動更新の設定

今まで「プラグインやテーマの不具合が怖い」という理由で

手動アップデートにしていましたが、今回の件を受けて自動更新設定に変更しました。

WordPressの更新画面の中ほどにある
「メンテナンスリリースとセキュリティリリースのみの自動更新に切り替えます」

をクリックしセキュリティに関する更新が自動で行われるように設定しました。

参考：WordPressのバージョン確認とアップデート方法を解説 - エックスサーバー

 

wp2shellで乗っ取り被害に遭っていないか確認した方法

 

「ワードプレスをバージョンアップしたから安心」と思っていても、

アップデート前にすでに不正アクセスを受けていないか不安になりますよね。

エックスサーバーの以下の公式動画を参考に、簡易セルフチェックを行いました。

 

参考にしたのは以下のXの動画です。

1. WordPress管理画面での確認項目

  • 「ユーザー」：身に覚えのない新しい管理者が追加されていないか

  • 「プラグイン」：知らないプラグインが勝手にインストールされていないか

  • 「設定」＞「一般」：「誰でもユーザー登録できるようにする」にチェックが入っていないか

2. サーバーパネル（ファイルマネージャー）での確認項目

  • wp-content フォルダ内に変なファイルがないか

  • uploads フォルダ内に不審なファイル（.phpなど）が紛れ込んでいないか

3. アクセスログ（コントロールパネル）での確認項目

ログ内に以下のログを確認して

  • wp-json/batch/v1
  • rest_route=/batch/v1 

に不審（wp2shellｎなど）がないか無いか確認

 

私のワードプレスのセキュリティ設定

今回の件もあり、改めてセキュリティ対策の重要性を痛感しました。

私が普段から行っている設定を備忘録としてまとめておきます。

エックスサーバー側の設定

WordPress側のセキュリティ設定

  • テーマやプラグインは常に最新の状態に保つ

  • セキュリティ系プラグインの導入

    • Akismet Anti-spam: Spam Protection（スパムコメント・コンタクトフォームの対策）

    • SiteGuard WP Plugin（ログインURL変更、画像認証、ログインロックなどの管理者保

詳しくは以下の記事でご紹介しています。

50才カメ丸アフィリエイトへっぽこ挑戦記
ワードプレスのSiteGuardでログインできなくなった意外な原因
🕒️2026年4月18日
稼いでいるワードプレスのサイトにログインしようとしたところ急にログインができなくなり弾かれるようになった。何度も試みるが・・・ダメ同じサーバーの他のワードプレスはOK変な攻撃されている経歴もなり・・・困ってしまった。その意外な原因が分かったので備忘録として残しておくワードプレスのプラグインSiteGuardで弾かれてログインできない自分のワードプレスのログインには注意を払いプラグインの「SiteGuard」 をインストールして「ログインアドレスの変更」と「ひらがな認証」の２段階のセキュリティにしている。普通はWord...

まとめ：WordPress運用は信頼できるサーバー選びが命

 

今回の「wp2shell」乗っ取りの危機を乗り切れたのは

間違いなくエックスサーバーの迅速な自動遮断と手厚いサポートのおかげです。

ネット上では「WordPressは危険だからやめた方がいい」という声も一部で見かけますが、

SEOの優位性や使い慣れた操作性を考慮すると、

今後もWordPressメインでサイト運営を続けていくつもりです。

 

ただし、セキュリティリスクや万が一のトラブルへの備えを考えると、

利用するレンタルサーバーは信頼性の高い「エックスサーバー」一択だと改めて実感する出来事でした。

 

 

-Wordpress（ワードプレス