まず結論：WordPressサイトなら、今日バージョンを確認してください

WordPress公式は2026年7月17日に、深刻な脆弱性を修正した緊急版「WordPress 7.0.2」を公開しました。IPA（情報処理推進機構）とJPCERT/CCも相次いで注意喚起を出しています。自社サイトがWordPressで作られているなら、管理画面を開き、本体・プラグイン・テーマをすべて最新版へ更新してください。 作業自体は数分で終わりますが、放置すると第三者にサイトを乗っ取られる危険があります。以下、何が起きたのか・自社にどう影響するのか・今日やることの順に、専門用語を噛み砕いて説明します。

何が起きたのか：WordPress 7.0.2の緊急リリース

2026年7月、WordPressに関するセキュリティ情報が公的機関から相次いで公表されました。3つの一次情報が、いずれも「速やかな更新」を促しています。

事実関係を、一次ソースの日付とともに整理します（数値やCVE番号は各ソースの記載どおりで、当社が推測で足したものはありません）。

• WordPress.org News「WordPress 7.0.2 Release」（2026年7月17日公開） — セキュリティ修正を含む緊急リリースとして7.0.2が公開されました。WordPress公式のリリース告知はこちら。
• IPA 重要なセキュリティ情報（2026年7月21日公開） — 「WordPressの脆弱性対策について（CVE-2026-60137、CVE-2026-63030：wp2shell）」として、更新を呼びかけています。IPAの注意喚起はこちら。
• JPCERT/CC Weekly Report（2026年7月23日公開） — 「WordPressにリモートコード実行につながる脆弱性」として取り上げています。JPCERT/CCのレポートはこちら。

公式・IPA・JPCERT/CCという性格の異なる3者が短期間に同じテーマを扱うのは、それだけ影響範囲が広いことの表れです。まずは「うちのサイトはWordPressだったか？」を確認し、そうであれば更新する——それが最優先の行動になります。

正直な限界：どのバージョンが具体的に影響を受けるか、いつまでに何を適用すべきかといった細部は、状況により追記・更新されることがあります。最終的な判断は、上記の公式告知とIPAの情報をご自身でも確認してください。本記事は2026年7月時点で公開されている一次情報にもとづいています。

リモートコード実行（RCE）とは？CVE・wp2shellをやさしく解説

ニュースに出てくる言葉が難しいので、発注側の担当者の方向けに噛み砕きます。

リモートコード実行（RCE）とは、攻撃者がインターネット越しに、あなたのサーバー上で好き勝手にプログラムを動かせてしまう状態のこと。 サイトの改ざん、個人情報の抜き取り、他サイトへの攻撃の踏み台化など、被害が大きくなりやすいため「重大」と位置づけられます。玄関のカギが開いているどころか、家の中の操作パネルごと他人に握られるイメージです。

• CVE（シーブイイー）とは：世界共通で脆弱性に振られる管理番号です。今回IPAが挙げているのは「CVE-2026-60137」「CVE-2026-63030」の2件。番号があること自体は、その問題が公的に把握・整理されている印でもあります。
• wp2shell とは：IPAの情報でCVE-2026-63030に併記されている呼び名（通称）です。「WordPressからshell（サーバーを操作する権限）へ」という意味合いを持つ名前で、深刻度の高さを示唆します。

ここで大事なのは、番号や名前を覚えることではなく、「更新すれば塞がる穴」だと理解することです。多くの脆弱性は、開発元が修正版を出した時点で対処法が確立しています。今回でいえば、その修正版が7.0.2にあたります。

持ち帰り：難しい単語が並んでいても、担当者がやることは「最新版へ更新する」の一点。詳細な技術判断は制作会社・保守担当に任せて構いません。

これが自社サイトにどう影響するのか（AliveCastの見解）

ここからは、単なるニュースの転載ではなく、Web制作・保守を実務でおこなっている当社の見解です。

① 「自社は小さいから狙われない」は誤解です。 攻撃の多くは、特定企業を狙い撃ちするのではなく、脆弱なバージョンのサイトを機械的に探して回るタイプです。規模や知名度に関係なく、古いWordPressというだけで対象になります。中小企業のコーポレートサイトや採用サイトも例外ではありません。

② 「作って終わり」のサイトほど危険です。 公開後に一度も更新していないWordPressは、既知の穴が積み重なっています。制作を外注し、その後は放置——という状態が、実は最もリスクが高い。今回のニュースは、その放置に気づく良い機会です。

③ 自動更新に任せきりも、確認は必要です。 WordPressはマイナー更新（7.0.1→7.0.2のような小数点以下の更新）を自動適用する設定が既定になっていることが多いですが、環境によっては無効化されていたり、プラグイン・テーマは自動対象外だったりします。「たぶん自動で入っているはず」ではなく、管理画面で実際のバージョンを目で確認することをおすすめします。

当社の保守運用でも、本体・プラグイン・テーマの更新は「検証してから本番へ反映する」手順を基本にしています。理由は、更新がまれに表示崩れや機能不具合を引き起こすことがあるためです（下の§で触れます）。ただし、セキュリティ修正のような緊急案件は、多少のリスクを取ってでも速やかに適用する——このバランス判断こそ、保守で最も気を遣う部分です。

正直にお伝えすること：当社は、世に出るすべての脆弱性に対して、全サイトで即時対応を保証できるわけではありません。だからこそ、担当者ご自身が「更新されているか」を確認できる状態にしておくことが、最後の砦になります。次の章で、その確認方法を示します。

あなたのホームページで今日やること

発注側の担当者が、開発知識なしで自分で確認・判断できる粒度でまとめます。

手順1：自社サイトがWordPressか確認する

制作会社に「うちのサイトはWordPressですか？」と一言聞くのが最も確実です。管理画面のログインURL（多くは `サイトURL/wp-admin/` や `/wp-login.php`）が案内されていれば、WordPressの可能性が高いです。

手順2：管理画面でバージョンと更新を確認する

“`

1. 管理画面（/wp-admin/）にログイン
2. 左メニュー「ダッシュボード」→「更新」を開く
3. 「WordPress の新しいバージョンがあります」と出ていないか確認
4. 「プラグイン」「テーマ」に更新可能の表示（数字バッジ）が出ていないか確認
5. 出ていれば、本体 → プラグイン → テーマ の順に最新へ更新

“`

表示されるバージョン番号が「7.0.2」以上になっていれば、今回の本体側の緊急更新は適用済みと考えられます。

手順3：更新前に必ずバックアップを取る

更新はまれに表示崩れや不具合を起こします。 必ず更新前にバックアップ（データベースとファイル一式）を取ってください。バックアップ手段が分からない場合は、自己判断で更新せず、制作会社・保守担当に依頼するのが安全です。「早く塞ぎたい」と「壊したくない」のバランスは、環境によって最適解が変わります。

手順4：自動更新を有効にしておく

再発防止として、本体・プラグイン・テーマの自動更新を有効化しておくと、今後の小さな修正は自動で当たります。ただし前述のとおり、自動更新でもまれに不具合が出るため、有効化後も月1回程度は目視確認する運用が現実的です。

自分でやる / 依頼するの判断基準

持ち帰り：今日中に「①WordPressか確認 → ②バージョン確認 → ③バックアップ → ④更新」まで進められれば、今回のニュースへの対応はひとまず完了です。不安な工程が1つでもあれば、無理をせず専門家に振ってください。

自社サイトの更新やセキュリティ、定期保守にご不安があれば、福岡のWeb制作・AEO対策会社である株式会社AliveCastがお手伝いします。「WordPressか分からない」「更新を任せたい」といった段階からでもご相談いただけます。お問い合わせはこちら。

よくある質問