WordPressに重大な脆弱性、うちのHPは大丈夫？
WordPressの本体に、ログインしなくてもサイトを乗っ取られかねない脆弱性が見つかり、7月17日に修正版が公開されました。影響を受けるのは6.8以上で、6.8より前は対象外です。修正版に更新されていれば影響を受けません。
ホームページの土台として広く使われているソフト「WordPress（ワードプレス）」の本体に、ログイン用のIDやパスワードを持たない相手でも、サーバー上でプログラムを動かせてしまう弱点が見つかり、2026年7月17日に修正版が公開されました。
修正版に更新されていれば影響を受けません。公式は影響を受けるバージョン向けに強制的な自動更新を実施しています。また対象は 6.8 以上で、6.8 より前は対象外です。6.8 系は2件のうち1件だけが当てはまります。「古いほど危ない」形にはなっていません。
予約や問診のフォームを置いているクリニックでは、サイトの改ざんだけでなく保存していた患者の情報に触れられたかどうかの確認まで必要になることがあります。
うちのHPは対象か
弱点は2件あり、使っているバージョンによって当てはまる数が変わります。
| 使っているバージョン | 今回の弱点の影響 | 修正版 |
|---|---|---|
| 6.8 より前 | 影響を受けない（公式のリリース情報とIPAの注意喚起に、6.8 より前は影響を受けないと明記） | — |
| 6.8 系（6.8.0〜6.8.5） | 2件のうち1件のみ。データベースに不正な命令を混ぜ込まれる不具合で、単体では外部からのプログラム実行には直結しません | 6.8.6 |
| 6.9 系（6.9.0〜6.9.4） | 2件とも影響 | 6.9.5 |
| 7.0 系（7.0.0〜7.0.1） | 2件とも影響。2件の組み合わせで、管理者権限を持たない相手でも外部からプログラムを実行できる状態になりうるとIPAは説明しています | 7.0.2 |
| 7.1 のテスト版 | 2件とも影響 | 7.1 beta2 |
今回は、古いバージョンほど危険とは限りません。6.8より前は対象外で、修正版に更新済みなら影響を受けません。強制的な自動更新も行われましたが、IPAは「運用している環境・構成や設定状況によっては、自動更新が有効ではなかったり、更新に失敗している可能性も考えられます」と注意を促しています。
自院のサイトがWordPressで作られているのか、今どのバージョンなのかは、公開されているページを開いただけでは分かりません。制作会社や保守業者に聞くのが確実です。
業者がやること、院長がやること
制作会社・保守業者がやること
- 本体を修正版以降に更新する6.8.6／6.9.5／7.0.2 以降。自動更新任せにせず、適用されたかを確認します。
- 身に覚えのない管理者アカウントが増えていないか確認するw2s_ で始まるもの、実在しないドメインのメールアドレスのものが報告されています。
- サーバーのアクセス記録を確認する7月中旬までさかのぼって確認します。
- （暫定策）特定の入口への外部アクセスを遮断する複数のセキュリティ事業者が共通して挙げている対策です（IPAの注意喚起には記載がありません）。
院長側が確認すること
業者へは「2026年7月17日に公表されたWordPress本体の脆弱性（通称 wp2shell、CVE-2026-60137／CVE-2026-63030）への対応はどうなっていますか」と伝えれば話が通じます。
- 自院のサイトはWordPressで作られているか違えば、今回の件は対象外です。
- 保守契約はあるか。本体の更新は含まれているか制作だけで納品され、以後は誰も更新していないケースがあります。
- 自動更新は有効になっているか有効でも更新が届いていない場合があるとIPAは指摘しています。
- フォームの送信内容がサーバー側に保存される設定か保存されていれば、侵入時に中身に触れられたかどうかの確認まで必要になります。
更新済みという返答であれば、そこで確認は終わりです。気になる場合は、業者からの連絡を待たずに院長側から確認の連絡を入れてください。
何が起きているのか
| 日付 | 誰が | 何をした・何を言ったか |
|---|---|---|
| 7月17日 | WordPress.org | 修正版（7.0.2／6.9.5／6.8.6）を公開。影響を受けるバージョン向けに強制的な自動更新を有効化 |
| 7月21日（現地時間） | 米CISA | すでに悪用が確認された脆弱性のカタログ（KEV）に2件とも掲載。※掲載は米国政府機関によるもので、日本国内での悪用を意味しません |
| 7月22日 | IPA | 注意喚起を公開。「脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります」 |
| 7月23日 | JPCERT/CC | 週報に掲載。「複数のセキュリティ企業が本脆弱性の悪用を確認しているとのことです」※同センター自身が悪用を観測したという書き方ではなく、伝聞の形です |
| 7月28日 | 国内でサイト保守に携わる事業者 | 関与先のサイトで侵入の痕跡を確認したと公開。w2s_ で始まる管理者アカウントが、実在しないドメインのメールアドレスで数日おきに作られていたと報告されています。※個人が公開した記事による情報です |
今回の脆弱性で医療機関に被害が出たという公表情報はありません。
クリニックのHPでWordPressは危険？
2017年2月、福井県立病院のホームページが改ざんされる被害が報じられました。このとき国内で改ざんされたサイトは画面を「Hacked by〜」と書き換えられており、いずれもWordPressの 4.7.0 か 4.7.1 で作られていました。最近では2025年に、歯科医院のHPへアクセスすると詐欺サイトへ転送される被害も報告されています。利用者が多いWordPressは標的にされやすい歴史があり、その都度アップデートを重ねて対応が続けられてきました。WordPressだからすぐに危険というわけではなく、こうしたアップデートをきちんと続ける体制が整っているかが重要になります。
まとめ
- 対象は 6.8 以上。6.8 より前は対象外で、修正版（6.8.6／6.9.5／7.0.2）に更新済みなら影響を受けない
- 公的機関は7月中に注意喚起を出している。実証コードが公開され、悪用が確認されたとJPCERT/CCが伝えている段階
- 更新・不審なアカウントの確認・記録の確認は業者の作業。院長側は「WordPressか」「保守契約に更新が含まれるか」「自動更新は有効か」「フォームの送信内容が保存されるか」を確認する
- 予約・問診フォームを置いている場合は、個人データに触れられたかどうかの確認まで必要になることがある
- 自院のサイトの状態は公開ページからは判断できない。気になる場合は、業者からの連絡を待たず、院長側から確認の連絡を入れてください。
- WordPress.org「WordPress 7.0.2 Release」（2026年7月17日）
- IPA 情報処理推進機構「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」（2026年7月22日）
- JPCERT/CC「Weekly Report 2026-07-23号」
- 米CISA「Known Exploited Vulnerabilities Catalog」（両CVEとも2026年7月21日追加）
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
- 日経メディカル「病院や研究施設のホームページが改ざん被害に」（2017年2月16日）
- 2017年の改ざんで画面に表示された文字列と、被害サイトのWordPressのバージョンは、piyolog によるまとめ（個人が公開した記事）による二次情報です
- 侵入の痕跡についての記述は、国内でサイト保守に携わる事業者が公開したnoteの記事（2026年7月28日）による二次情報です
- ※今回の脆弱性による医療機関での被害事例、クリニックのウェブサイトにおけるWordPressの利用割合、他の仕組みとの脆弱性件数の比較は、いずれも公表資料が見当たりませんでした（最終確認：2026年8月29日）
本記事は編集プロセスの一部で生成AIの技術を活用し、その上で医療DXガイド編集スタッフが確認・加筆・修正したうえで掲載しています。