WordPressに重大な脆弱性、うちのHPは大丈夫？
WordPressの本体に、ログインしなくてもサイトを乗っ取られかねない脆弱性が見つかり、7月17日に修正版が公開されました。影響を受けるのは6.8以上で、6.8より前は対象外です。自院サイトが対象か、業者に何を確認すればよいかを整理します。
ホームページの土台として広く使われているソフト「WordPress（ワードプレス）」の本体に、ログイン用のIDやパスワードを持たない相手でも、サーバー上でプログラムを動かせてしまう弱点が見つかり、2026年7月17日に修正版が公開されました。
修正版に更新されていれば影響を受けません。公式は影響を受けるバージョン向けに強制的な自動更新を実施しています。また対象は 6.8 以上で、6.8 より前は対象外です。6.8 系は2件のうち1件だけが当てはまります。「古いほど危ない」形にはなっていません。
予約や問診のフォームを置いているクリニックでは、サイトの改ざんだけでなく個人情報保護委員会への報告まで関わることがあります。自院が対象か、業者と院長で何を分担するかを整理します。
うちのHPは対象か
弱点は2件あり、使っているバージョンによって当てはまる数が変わります。
| 使っているバージョン | 今回の弱点の影響 | 修正版 |
|---|---|---|
| 6.8 より前 | 影響を受けない（公式のリリース情報とIPAの注意喚起に、6.8 より前は影響を受けないと明記） | — |
| 6.8 系（6.8.0〜6.8.5） | 2件のうち1件のみ。データベースに不正な命令を混ぜ込まれる不具合で、単体では外部からのプログラム実行には直結しません | 6.8.6 |
| 6.9 系（6.9.0〜6.9.4） | 2件とも影響 | 6.9.5 |
| 7.0 系（7.0.0〜7.0.1） | 2件とも影響。2件の組み合わせで、管理者権限を持たない相手でも外部からプログラムを実行できる状態になりうるとIPAは説明しています | 7.0.2 |
| 7.1 のテスト版 | 2件とも影響 | 7.1 beta2 |
「古いほど危険」という直感は、今回は当てはまりません。そして修正版に更新されていれば影響を受けません。強制的な自動更新が実施されたため、すでに更新済みのサイトが多い可能性はありますが、IPAは「運用している環境・構成や設定状況によっては、自動更新が有効ではなかったり、更新に失敗している可能性も考えられます」としています。
自院のサイトがWordPressで作られているのか、今どのバージョンなのかは、公開されているページを開いただけでは分かりません。制作会社や保守業者に聞くのが確実です。
何が起きているのか
| 日付 | 誰が | 何をした・何を言ったか |
|---|---|---|
| 7月17日 | WordPress.org | 修正版（7.0.2／6.9.5／6.8.6）を公開。影響を受けるバージョン向けに強制的な自動更新を有効化 |
| 7月21日（現地時間） | 米CISA | すでに悪用が確認された脆弱性のカタログ（KEV）に2件とも掲載。※米国政府機関による掲載で、日本国内で悪用が確認されたことを示すものではありません |
| 7月22日 | IPA | 注意喚起を公開。「脆弱性を実証するコードが公開されており、今後、これらの脆弱性の悪用が拡大する可能性があります」 |
| 7月23日 | JPCERT/CC | 週報に掲載。「複数のセキュリティ企業が本脆弱性の悪用を確認しているとのことです」※同センター自身が悪用を観測したという書き方ではなく、伝聞の形です |
| 7月28日 | 国内でサイト保守に携わる事業者 | 関与先のサイトで侵入の痕跡を確認したと公開。w2s_ で始まる管理者アカウントが、実在しないドメインのメールアドレスで数日おきに作られていたと報告されています。※個人の記事＝二次情報です |
医療機関で被害が出たという公表情報は、編集部では確認できませんでした。「起きていない」という意味ではなく、確認できた公開情報の中には見当たらなかった、ということです。
業者がやること、院長がやること
制作会社・保守業者がやること
- 本体を修正版以降に更新する6.8.6／6.9.5／7.0.2 以降。自動更新任せにせず、適用されたかを確認します。
- 身に覚えのない管理者アカウントが増えていないか確認するw2s_ で始まるもの、実在しないドメインのメールアドレスのものが報告されています。
- サーバーのアクセス記録を確認する7月中旬までさかのぼって確認します。
- （暫定策）特定の入口への外部アクセスを遮断する複数のセキュリティ事業者の解説に共通する対策で、IPAの注意喚起の文言としては確認できていません。
院長側が確認すること
業者へは「2026年7月17日に公表されたWordPress本体の脆弱性（通称 wp2shell、CVE-2026-60137／CVE-2026-63030）への対応はどうなっていますか」と伝えれば話が通じます。
- 自院のサイトはWordPressで作られているか違えば、今回の件は対象外です。
- 保守契約はあるか。本体の更新は含まれているか制作だけで納品され、以後は誰も更新していないケースがあります。
- 自動更新は有効になっているか有効でも更新が届いていない場合があるとIPAは指摘しています。
- フォームの送信内容がサーバー側に保存される設定か保存の有無で、次の章の報告義務の話が変わります。
更新済みという返答であれば、そこで確認は終わりです。気になる場合は、業者からの連絡を待たずに院長側から確認の連絡を入れてください。
患者の情報が漏れた場合、報告義務が生じることがある
サイトが書き換えられた＝ただちに報告義務、ではありません。順序は、侵入される → 保存していた個人データに手が届く状態だったか、実際にアクセスされたかを確認する → 漏えい、またはそのおそれがある → 報告義務の対象になりうる、という流れです。
個人情報保護委員会のページには、報告と本人への通知が求められる事態として「要配慮個人情報が含まれる」「財産的被害が生じるおそれがある」「不正の目的をもって行われた漏えい等が発生した」「1,000人を超える漏えい等が発生した」の4つが挙げられ、いずれか1つに当てはまれば対象になります。人数の条件が付いているのは4つ目だけです。問診フォームで症状や病歴を書かせている場合、その内容は1つ目に関わる可能性があります。報告の時期は、同ページに「速やか(概ね３～５日以内)に」と記載されています。
ただし速報と確報それぞれの日数の内訳は、当該ページ本文からは確認できませんでした。自院が対象に当たるかも、保存していた情報の中身と実際にアクセスされたかどうかで変わり、一律には決まりません。
安心材料もあります。送信内容をサーバーに保存せずメール転送だけにしている場合、漏えいの対象となる個人データがサイト上に無いこともあります。ただしフォームの追加機能（プラグイン）が、初期設定のまま送信内容をデータベースに保存していることがあります。自己判断せず業者にご確認ください。
クリニックのHPでWordPressはもう古い？
一次資料から「はい」とも「いいえ」とも答えることはできません。答えられる問いに置き換えます。「WordPressだから危なかったのか、更新されていなかったから危なかったのか」です。
まず事実です。今回の弱点は本体のもので、追加機能（プラグイン）を1つも入れていなくても影響を受けます。一方で修正版に更新されていれば影響を受けず、IPAは「自動更新によってバージョンアップされているかどうかを確認し、バージョンアップされていない場合には手動でのバージョンアップを検討してください」と求めています。
確認できなかったこともあります。WordPressが他の仕組みより弱点が多いのか少ないのかを、同じ条件で比べた資料は確認できませんでした。件数の多さだけで優劣は判断できません。クリニックのホームページのうちWordPressが占める割合を示す資料も、確認できませんでした。
ここから先は編集部の見立てです。今回の経過から読み取れるのは、「WordPressを使っているかどうか」よりも修正版が出たときに誰がいつ適用するのかで結果が分かれた、ということだと考えます。そう考える理由は、更新が届いたかどうかで結果が変わる構造だったことです。これは仕組みの種類を問いません。この記事は乗り換えを勧めるものではありません。確認すべきはソフトの名前ではなく、自院のサイトを今誰が保守し、修正版が出たときに誰が適用するのかです。
6.8 より前を使っている場合、または修正版に更新済みの場合は、今回の件で自院が影響を受けることはありません。
まとめ
- 対象は 6.8 以上。6.8 より前は対象外で、修正版（6.8.6／6.9.5／7.0.2）に更新済みなら影響を受けない
- 公的機関は7月中に注意喚起を出している。実証コードが公開され、悪用が確認されたと報じられている段階
- 更新・不審なアカウントの確認・記録の確認は業者の作業。院長側は「WordPressか」「保守契約に更新が含まれるか」「自動更新は有効か」「フォームの送信内容が保存されるか」を確認する
- 予約・問診フォームを置いている場合は、個人データに触れられたかどうかの確認まで必要になることがある
- 自院のサイトの状態は公開ページからは判断できない。気になる場合は、業者からの連絡を待たず、院長側から確認の連絡を入れてください。
出典：WordPress.org「WordPress 7.0.2 Release」（2026年7月17日）、IPA 情報処理推進機構「WordPressの脆弱性対策について(CVE-2026-60137、CVE-2026-63030：wp2shell)」（2026年7月22日）、JPCERT/CC「Weekly Report 2026-07-23号」、米CISA「Known Exploited Vulnerabilities Catalog」（両CVEとも2026年7月21日追加）、個人情報保護委員会「漏えい等報告・本人への通知の義務化について」。侵入の痕跡についての記述は、国内でサイト保守に携わる事業者が公開したnoteの記事（2026年7月28日）による二次情報です。医療機関における被害事例、およびクリニックのウェブサイトにおけるWordPressの利用割合を示す資料は、編集部では確認できませんでした（最終確認：2026年8月17日）。