WordPress の脆弱性（2026年）：本体・プラグイン・PHP2Shell の確認と対策
2026年の WordPress は、本体の CVE-2026-87902（7.1.2 で修正）、プラグイン Bricksforge の CVE-2026-85097（CVSS 10）、そして WordPress を動かす PHP の PHP2Shell が、いずれも攻撃に使われています。本体・プラグイン・テーマを最新にするだけでなく、サーバーの PHP が修正済みかと、すでに改ざんされていないかの確認が必要です。
WordPress の乗っ取りや改ざんの多くは、更新されていない本体・プラグイン・テーマが入口です。ただし PHP2Shell は WordPress ではなくサーバーの PHP の問題で、WordPress をいくら更新しても直りません。
2026年に確認したい脆弱性
| 対象 | 内容 | 状況 | 対応 |
|---|---|---|---|
| WordPress 本体 | CVE-2026-87902 | 公表から数時間で悪用 | 7.1.2 以降へ更新 |
| プラグイン Bricksforge | ログイン不要で PHP ファイルをアップロード・実行（CVE-2026-85097、CVSS 10） | 2026年10月7日から攻撃を確認 | 最新版へ更新。使っていなければ削除 |
| PHP（サーバー） | PHP2Shell（CVE-2026-109618／109619、CVSS 9.2） | 攻撃を確認 | PHP を修正済みのものに（詳しく） |
WordPress のセキュリティ対策：今日やること
- バックアップを取る：ファイルとデータベースの両方。作業前に必ず。
- 本体・プラグイン・テーマを更新：本体は 7.1.2 以降。使っていないプラグイン・テーマは無効化ではなく削除します。
- 配布が終わったプラグインを置き換える：更新が止まったプラグインは、脆弱性が見つかっても直りません。
- PHP のバージョンと修正状況を確認：レンタルサーバーの管理画面で PHP のバージョンを確認し、サーバー会社の PHP2Shell への対応状況を確認します。
- 管理者アカウントを見直す：知らない管理者がいないか、パスワードの使い回しがないか。二段階認証を有効にします。
- 改ざんされていないか確認：最近更新された PHP ファイル、wp-content/uploads 内の PHP ファイル、見覚えのないファイル（Web シェル）がないかを確認します。
改ざん・乗っ取りのサイン
- 検索結果に見覚えのないページや外国語のタイトルが出る
- サイトを開くと別のサイトに飛ばされる（スマホだけ、など条件付きのことも）
- 知らない管理者ユーザーが増えている、パスワードが変えられている
- サーバー会社から「不審なファイル」「迷惑メール送信」の連絡が来た
思い当たる場合や、自社での確認が難しい場合は、Patch48 の 緊急セキュリティ対応パック（共用サーバー・CMS）で、PHP の修正確認・侵入痕跡の確認・WordPress の更新まで48時間で対応します。
参考：SecurityWeek ／ BleepingComputer ／ Cyber Security News（Bricksforge）
よくある質問
WordPress を最新にすれば PHP2Shell も直りますか？
直りません。PHP2Shell はサーバー上の PHP の脆弱性です。PHP を修正済みのものにする必要があります。レンタルサーバーの場合はサーバー会社の対応状況を確認してください。
セキュリティプラグインを入れていれば安全ですか？
攻撃の一部は防げますが、本体・プラグインの脆弱性やサーバーの PHP の問題は、更新しないと残ります。セキュリティプラグインは更新の代わりにはなりません。
改ざんされているか自分で確認できますか？
最近更新された PHP ファイルや uploads フォルダ内の PHP ファイル、知らない管理者ユーザーの有無はある程度確認できます。巧妙な Web シェルは見つけにくいため、不安な場合は専門家に依頼してください。
自社のサイトが該当するか、48時間で確認・対応します
修正の適用確認・必要な場合のパッチ適用・侵入痕跡の確認・CMS やアプリのチェックまで。共用サーバー・CMS 59,800円（税込65,780円）、VPS・独自アプリ 98,000円（税込107,800円）。急ぎでなければ無料見積りもご利用いただけます。
緊急対応を申し込む →