【緊急】要確認！あなたの会社のHPは大丈夫？

オイカワ美装 ＩＴ・制作事業部長の佐藤です。
今回は塗装の話ではなく、ちょっと緊急性の高いネタでお送りします。

先日、世界中のホームページで使われているソフト『WordPress（ワードプレス）』に、非常に危険な欠陥（脆弱性）が見つかりました。
弊社のウェブサイトは私が自社で作って自社で管理していますので、報道を見たその日のうちに対応を完了させることができました。

ですが、地元の企業さんとお話ししていると
『ホームページは何年か前に業者さんに作ってもらって、それきり触っていない』
というケースが、本当に多いんですね。

そして今回の問題は、まさにそういうサイトが一番危ないタイプのものです。
パソコンが苦手な方にも分かるようにまとめてみましたので、しばしお付き合いください。

はじめに

ホームページというのは、外壁と同じです。
塗ったら終わり、ではありません。

定期的に点検して手を入れないと、気づかないうちに傷んでいきます。そして傷んだまま放っておくと、ある日とんでもない形で問題が表面化する。
私たちが日頃お客様にお伝えしていることと、まったく同じ理屈なんですね。

今回の件は、その『点検を忘れていた家』が一斉に狙われている、という状況です。

そもそも、何が起きたのか

WordPressは、世界のホームページの４割前後で使われていると言われる、いわば『ホームページの土台ソフト』です。中小企業の会社案内サイトの多くも、これで作られています。

2026年7月17日、そのWordPress本体（中核部分）に２つの欠陥が見つかり、開発元から緊急の修正版が公開されました。
この２つを組み合わせた攻撃手法には、発見者によって『wp2shell（ダブリューピー・ツー・シェル）』という通称が付けられています。

難しい話を抜きにすると、こういうことです。

事の重大さから、WordPressの開発元は対象サイトへ『強制的な自動更新』を発動させるという異例の対応まで取りました。
普段はここまでやりません。それだけ深刻だ、ということです。

今回が『特に危ない』３つの理由

WordPressの欠陥自体は、実は毎週のように報告されています。
それでも今回が大きく報道されているのには、はっきりした理由があります。

１．ログインしなくても攻撃できる

これまで多かったのは『管理画面にログインできる人だけが悪用できる』タイプでした。
しかし今回は違います。

IDもパスワードも知らない、まったくの第三者が、外から一方的に攻撃できてしまいます。

『パスワードを複雑にしているから大丈夫』という理屈が、今回はまったく通用しません。

２．プラグインを入れていなくても対象

『余計な機能を入れていないシンプルなサイトだから安心』——これも通用しません。
今回はWordPress本体そのものの問題ですので、インストールしたままの標準的な状態のサイトでも影響を受けます。

３．攻撃のやり方が、もう出回っている

修正版が公開されたのと同じ日に、攻撃手順を再現するプログラム（実証コード）がインターネット上に公開されました。その後、管理者アカウントを勝手に作る処理まで追加されたと報告されています。

実際の被害については『悪用の試みをすでに観測した』とする調査会社と『現時点では確認していない』とする会社があり、報告が分かれている状況です。
ただし『まだ被害報告が少ない＝安全』という意味ではありません。

攻撃の材料が世に出回っている以上、様子見をする理由にはならない、というのが各社共通の見解です。

乗っ取られると、具体的にどうなる？

『通販もやっていないし、個人情報も預かっていないから、乗っ取られても大した被害はない』と思われるかもしれません。
ですが、実際に起きるのはこういうことです。

特に怖いのは、下の２つです。

地域に根ざしてやっている会社にとって、『あそこのホームページ、ウイルス扱いされてたよ』という評判は、売上以上に痛いのではないでしょうか。

信用というものは、失うのは一瞬で、取り戻すのには何倍もの時間がかかります。

自分のサイトが対象かどうかの調べ方

影響を受けるバージョンは、はっきりしています。
まずは管理画面にログインして、ご自身のバージョンを確認してください。

【確認方法】管理画面（ダッシュボード）を開くと、画面の右下あたり、または『更新』の画面に『WordPress ○.○.○ を使用中です』といった表示があります。

ここで一つ、意外に思われるかもしれない点を。

今回の欠陥は、2025年12月に公開された比較的新しいバージョン（6.9）から入り込んだものです。
つまり『まめに最新にしていた真面目なサイトほど、今回は当たっている』という、なんとも皮肉な状況になっています。

とはいえ『じゃあ更新しないほうが安全なのか』と言えば、それはまったくの逆です。
古いバージョンには、古いバージョンなりの穴が何十個も残ったままなのですから。

更新は続けたうえで、今回のような緊急情報が出たときに気づける体制を作る。
これが正解です。

なお発見者であるセキュリティ会社は、サイトのURLを入れるだけで影響の有無を判定できるチェックサイト（wp2shell.com）も公開しています。
バージョンの見方が分からない場合は、こちらを使う方法もあります。

今すぐやるべきこと（３ステップ）

ステップ１．バックアップを取る

更新作業の前に、必ず現状の控えを取ってください。
レンタルサーバーの管理画面に『自動バックアップ』機能があることが多く、ボタン一つで取得できる場合もあります。

万が一更新で表示が崩れても、元に戻せる状態にしてから作業する。これは鉄則です。

ステップ２．WordPress本体を更新する

管理画面の『ダッシュボード』→『更新』から実行できます。
前述のとおり公式が強制的な自動更新を発動させているため、すでに更新済みになっているサイトも多いはずです。

ただし、自動更新を意図的に切っているサイトには適用されていない可能性があります。
『勝手に直っているだろう』と思い込まず、必ずご自分の目でバージョン番号を確認してください。

ステップ３．プラグインとテーマも更新する

今回は本体の問題ですが、実際の被害の多くは、放置されたプラグイン（追加機能）経由で起きています。
ついでに全部、最新にしておきましょう。

そしてもう何年も更新が止まっているプラグイン、使っていないテーマは、この機会に削除を。
使っていなくても、置いてあるだけで侵入口になります。

『制作会社に任せきり』の方へ

『管理画面のログイン情報すら分からない』という方も、決して珍しくありません。
その場合は、作ってもらった制作会社さんにすぐ連絡してください。

文面に迷うようでしたら、以下をそのままコピーしてお使いいただいて構いません。

もし連絡先が分からない、あるいは制作会社さんがすでに廃業されているという場合は、ホームページを置いているレンタルサーバー会社のサポート窓口に相談してください。

主要なサーバー会社は今回の件で利用者へ注意喚起を出しており、サーバー側での防御策を講じているところもあります。

すでに被害に遭っていないかの見分け方

対応が遅れてしまった場合は、念のため次の点を確認してください。
専門知識がなくても気づける、分かりやすいサインです。

特に一番上、身に覚えのない管理者アカウントには要注意です。今回の攻撃では、勝手に管理者を作る手口が確認されています。

一つでも当てはまる場合は、自力で消そうとせず、まずサイトを一時的に非公開にしたうえで専門業者に相談してください。
表面のゴミだけ消しても、裏口が残っていれば数日で元通りになってしまいます。

これを機に見直したい、平常時の備え

今回の件が落ち着いたら、次は『次に何かあったとき』の備えです。

１番目は、今回まさに多くのサイトを救いました。
３番目は地味ですが重要で、担当者の退職や制作会社の廃業でログイン情報が分からなくなるのが、現場としては最も困るパターンです。

そして特に５番目。
制作費に更新作業が含まれているのかどうか、契約書を一度確認してみてください。

『更新は誰の仕事か』が曖昧なサイトが、いちばん放置されます。

含まれていないのであれば、月々数千円程度の保守契約を結ぶ価値は十分にあります。乗っ取られてから復旧を依頼する費用は、その何十倍にもなりますので。

おわりに

長くなりましたので、要点だけもう一度。

弊社は幸い、ウェブサイトを自社で管理しているためすぐに動くことができました。
ですが地元の多くの会社さんが『作ってもらったきり』の状態であることを考えると、どうにも他人事とは思えず、こうして記事にした次第です。

・・・そして最後に少しだけ、宣伝を。

弊社ＩＴ・制作事業部では、ウェブサイトの制作や保守管理も外部からご依頼をお受けしています。
今回のような『何が起きているのか分からない』『相談先がない』といったお困りごとも、まずはお気軽にご相談いただければと思います。
バージョンを見てほしい、というだけのご相談でも構いません(^_^)／

お問い合わせはこちらから

お読みいただいた皆様の会社のホームページが、今日も明日も無事でありますように。
まずは管理画面を開いて、バージョン番号を確認するところから始めてみてください。

最後までお読みいただき、ありがとうございました！m(_ _)m