こんにちは、マサシです。
「本体の自動更新をオンにしておけば、もう安心」という話を、よく見かけます。
ただ、2026年7月に見つかった脆弱性「wp2shell」では、話が変わります。
自動更新を止めていたサイトや、古いバージョンのまま止まっていたサイトは、強制更新の対象から外れていました。
自分のサイトが、その「対象から外れていた側」ではないか、不安になることはありませんか。
私も以前は、自動更新をオンにしてさえいれば、それ以上は自分で確認しなくていいと思っていました。
結論：自動更新がオンでも、バージョン表示は自分の目で確認する
多くの場合、自動更新がオンになっているだけでは、安全とは言い切れません。
理由は、無効化されていたサイトが、強制更新の対象から外れていたからです。
古いバージョンのまま止まっていたサイトも、同じように対象から外れていました。
この先の判定表を上から当てはめれば、自分のサイトが今すぐ確認すべき側か、様子を見てよい側かが4分で分かります。
バージョン表示を自分の目で確認しておけば、対象から外れていたことに気づけます。
気づけば、乗っ取りの穴を放置する事故を防げます。
判断が分かれるのはこの3点
分かれ目になるのは、次の3点です。
- 自動更新が無効になっていないか
- 今のバージョンが、影響を受ける範囲に入っていないか
- 管理画面のユーザー一覧に、見覚えのない管理者が増えていないか
バージョンの確認は、管理画面の「ダッシュボード」→「更新」を開けば見られます。
wp2shellの対象は、WordPress本体の6.8.0〜6.8.5・6.9.0〜6.9.4・7.0.0〜7.0.1です（IPAの注意喚起、https://www.ipa.go.jp/security/security-alert/2026/alert20260722.html）。
修正版は6.8.6・6.9.5・7.0.2で、WordPress.orgチームはこの範囲のサイトに強制アップデートを実施したと説明しています（ITmedia、https://www.itmedia.co.jp/enterprise/spv/2607/28/news014.html）。
ただし、自動更新を無効にしていたサイトには、この強制アップデートは適用されません。
実際、WordPressを使う組織の約20%で、該当するバージョンが検出されたという調査結果もあります（ScanNetSecurity、https://scan.netsecurity.ne.jp/article/2026/07/30/55814.html）。
管理者ユーザーの確認は、見た目の表示だけでは分からないところです。
ユーザー一覧と、ログインの履歴に、知らないアカウントや知らないアクセス元が無いかを見ます。
判定表
自分のサイトの状態を、上から順に当てはめてみてください。
| こうなっていたら | 判定 | 次にやること |
|---|---|---|
| 自動更新が無効、またはバージョンが6.8.0〜6.8.5・6.9.0〜6.9.4・7.0.0〜7.0.1のいずれか | 今すぐ | 管理画面から手動で6.8.6・6.9.5・7.0.2のいずれかに更新する |
| 自動更新は有効だが、現在のバージョンを自分の目で確認したことがない | 今すぐ | 管理画面の「更新」画面でバージョン表示を確認する |
| バージョンは修正済みだが、管理者ユーザーの一覧を確認したことがない | 様子を見る | ユーザー一覧とログイン履歴を月に1回確認する |
| バージョンが修正済みで、管理者ユーザーも確認済み | 対象外 | 今のままで大丈夫（半年に1回見直す） |
目安: 1行1分
例外：複数の担当者がいるサイト
判定表どおりに進めないほうがよい場合もあります。
複数の担当者で管理しているサイトでは、見覚えのないユーザーが、実は別の担当者が追加した分だったということがあります。
その場合は、すぐに削除する前に、担当者どうしで声をかけ合って確認したほうが安全です。
やめた判断
以前は、自動更新をオンにしてさえいれば、バージョンを自分で見にいく必要はないと判断していました。
この判断をやめたのは、今回のwp2shellで、自動更新が効かないサイトが残っていたと知ったからです。
今は、本体の更新画面を月に1回は自分の目で確認するようにしています。
同じテーマの記事として「WordPressを安全に守るための超基本：4つの習慣で十分なセキュリティ入門」も置いています。
自分でやるのが不安なときは
WordPressの更新やバックアップを、毎月まかせたい方へ。
WordPressの更新やバックアップを、毎月の保守としてお引き受けしています。
更新のたびに表示が崩れないか心配な方、毎月の確認に時間を取れない方に向いています。
今のサイトがどんな状態か分からなくても大丈夫です。
一度拝見して、必要な守りだけをご提案します。
相談は無料です。