WordPressの更新はなぜ必要？管理サイトでSQLインジェクション攻撃を検知して感じたこと
ワードプレス 実際にWordPressサイトへの攻撃を検知しました
2026年8月、私が運営しているWordPressサイトで、SQLインジェクションを狙った不審なアクセスがセキュリティ機能によって検知されました。
幸い、今回確認した範囲では不正なログインやサイトの改ざんなど、侵入を示す兆候は確認されていません。
ただ、今回の経験からあらためて感じたのが、WordPress本体・プラグイン・テーマを最新の状態に保つこと、そしてサーバー側のセキュリティ設定を確認しておくことの大切さです。
「うちのホームページは大丈夫」と思っている方にも、ひとつの実例として紹介したいと思います。
実際に検知されたSQLインジェクション
今回、2026年8月6日から14日にかけて、複数のIPアドレスから同じようなアクセスが繰り返されていました。
実際のセキュリティログから一部を抜粋します。
※運営サイトのドメインとIPアドレスの一部は伏せています。
2026-08-14 05:37:26
SQLインジェクション
/?rest_route=/batch/v1
union all select
138.xxx.xxx.xxx
2026-08-12 21:23:22
SQLインジェクション
/?rest_route=/batch/v1
union select
161.xxx.xxx.xxx
2026-08-10 14:18:23
SQLインジェクション
/?rest_route=/batch/v1
union select
210.xxx.xxx.xxx
2026-08-07 04:18:56
SQLインジェクション
/
union all select
154.xxx.xxx.xxx
union select や union all select は、データベースへの不正な操作を試みるSQLインジェクションで使われることがある文字列です。
今回のアクセスでは、WordPress REST APIの
?rest_route=/batch/v1
というURLも繰り返し狙われていました。
2026年7月にはWordPress本体の重大な脆弱性も公表されていた
調べてみると、2026年7月17日、WordPress本体に関する重大な脆弱性が公表されていました。
「wp2shell」と呼ばれる攻撃につながるもので、WordPressのREST APIにある /batch/v1 も攻撃経路として使われることが確認されています。
影響を受けるWordPressは6.9.0～6.9.4、7.0.0～7.0.1で、WordPress 6.9.5および7.0.2で修正されています。更新できない場合の一時的な対策として、/wp-json/batch/v1 や ?rest_route=/batch/v1 への匿名アクセスをWAFなどで遮断する方法も案内されていました。
今回確認したログも同じ /batch/v1 を対象にしていました。
ただし、ログの内容だけから「wp2shellによる攻撃だった」と断定することはできません。
少なくとも、WordPressの脆弱性を探す自動的な攻撃・スキャンのひとつである可能性は考えておいた方がよさそうです。
攻撃を受けたからといって、侵入されたわけではありません
ここは大切なので、分けて考える必要があります。
セキュリティログに「SQLインジェクション」と記録されたことと、実際にサイトへ侵入されたことは同じではありません。
今回のサイトではセキュリティ機能によって不審なアクセスが検知され、その後、アクセス元となったIPアドレスについてサーバー側でもアクセス拒否設定を行いました。
また、WordPressへの不審なログイン通知や、見覚えのない管理者ユーザーなども確認されていません。
現在のWordPressは7.0.4です。
WordPress 7.0.4は2026年8月12日に公開されたセキュリティリリースで、WordPress.orgも速やかなアップデートを推奨しています。
構築途中のサイトでも攻撃はやってくる
今回、個人的に一番印象に残ったのはここでした。
攻撃を受けたのは、私自身が運営している、まだ構築途中のWordPressサイトです。
積極的に告知しているサイトでもなく、多くのアクセスが集まっているサイトでもありません。
それでも、不審なアクセスはやってきました。
ホームページの知名度や会社の規模に関係なく、インターネット上からアクセスできるWordPressサイトを機械的に探し、脆弱性がないかを自動的に調べるアクセスは存在します。
「小さなホームページだから大丈夫」
「ほとんど更新していないサイトだから狙われない」
とは考えない方がよいということを、今回、自分のサイトで実際に経験しました。
WordPressの更新は機能追加のためだけではありません
WordPressの管理画面に、
「新しいバージョンがあります」
「プラグインを更新してください」
と表示されていても、サイトが普通に表示されていれば、そのままにしてしまうことがあるかもしれません。
しかし、WordPressのアップデートには、新機能や不具合修正だけではなく、発見されたセキュリティ上の問題を修正する更新も含まれています。
WordPress公式でも、最新系列を使用することを推奨しており、セキュリティ更新については自動バックグラウンド更新の仕組みも用意されています。
今回のような攻撃を見ていると、
「サイトが正常に表示されているから更新しなくていい」のではなく、「安全に表示し続けるために更新する」
という考え方が大切なのだと思います。
この記事を読まれた方へ
ここまで読んで、
「うちのWordPressは大丈夫かな？」
と少しでも思われた方は、この記事を読まれたのも何かのご縁だと思って、一度だけでも現在管理しているWordPressのセキュリティ設定を確認してみてください。
特別なことをするというより、まずは基本的な設定が有効になっているかを見るだけでもよいと思います。
レンタルサーバー側で確認したいこと
- WAF（Webアプリケーションファイアウォール）が有効になっているか
- WordPress向けのセキュリティ機能が用意されていないか
- 国外IPからのアクセス制限が利用できるか
- 不審なアクセスのログを確認できるか
- 必要に応じて特定のIPアドレスを拒否できるか
利用しているレンタルサーバーによって名称や機能は異なります。
たとえばエックスサーバーでは、WAFで「XSS」「SQL」「ファイル」「メール」「コマンド」「PHP」などの対策を個別に設定でき、SQLインジェクションに該当するアクセスについても検知・拒否する仕組みがあります。
また、WordPressの管理画面やログイン画面へのIPアドレス制限、国外アクセス制限などの機能も用意されています。
WordPress側で確認したいこと
- WordPress本体を最新の状態にする
- プラグインを最新の状態にする
- テーマを最新の状態にする
- 使用していないプラグインやテーマを放置しない
- ログイン画面への不正アクセス対策を確認する
- 管理者のユーザー名とパスワードを見直す
- 見覚えのない管理者ユーザーが登録されていないか確認する
WordPressでは本体だけでなく、プラグインやテーマについても更新機能や自動更新機能が用意されています。
WAFをOFFにしたままになっていませんか？
WEB制作をしていると、WAFが有効なことで管理者自身の操作が拒否されることがあります。
たとえば functions.php を編集したり、PHPやJavaScriptなどのコードを保存した際、その内容が攻撃パターンに似ていることでアクセスを拒否され、403 Forbiddenになるケースです。
そのため、作業中だけWAFを一時的にOFFにすることもあります。
怖いのは、「作業が終わったあと、OFFにしたことを忘れてしまう」ことです。
もし過去にWAFをOFFにしたことがある場合は、一度現在の設定を確認してみてください。
すべてをONにすると制作・運用に支障が出る環境であれば、利用しているサーバーの機能を確認し、SQL対策、XSS対策、ファイル対策、PHP対策など、必要な防御機能を個別に有効にできないかを検討する方法もあります。
ただし、WAFを有効にすれば100％安全になるわけではありません。
エックスサーバーの公式マニュアルでも、WAFは最低限の予防策であり、根本的な対応としてWordPressなどのアプリケーションを最新バージョンに保つ必要があると案内されています。
怖がるより、一度確認しておく
今回、私自身が運営しているサイトで初めて実際の攻撃ログを確認しました。
正直なところ、
「本当にこんなのが来るんだな」
というのが最初の感想でした。
一方で、WordPressを更新すること、WAFなどのサーバー側のセキュリティ機能を利用すること、ログを確認できる状態にしておくこと。
普段行っている基本的な対策が、なぜ必要なのかを改めて実感する機会にもなりました。
セキュリティ対策に「これをしておけば絶対に安全」というものはありません。
だからこそ、必要以上に怖がるのではなく、
WordPressは最新の状態になっているか。
サーバーのセキュリティ機能は有効になっているか。
不審なログインやアクセスが残っていないか。
この記事をきっかけに、一度確認してもらえればと思います。
この記事は参考になりましたか？
この記事に関連した記事もご覧ください！
2008年1月に起業し、2026年で18年目を迎えました。これまで一貫して「成果につながるWEBサイト」をテーマに、中小企業を中心とした幅広い業種のサイト制作・運用に携わってきました。
企画・デザイン・コーディングはもちろん、公開後の運用サポートやWEBコンサルティングまでをワンストップで提供。制作だけにとどまらず、アクセス解析や改善提案を通じて売上や集客アップといった成果につなげる支援を行っています。
近年は、AI時代の検索体験（SGE / AI Overviews）への最適化にも注力し、自社およびクライアントサイトが実際にAI概要で紹介されるようになっている経験をもとに、SEO・コンテンツ戦略を検証・発信中です。
経営者からは「信頼して任せられるパートナー」として、WEB担当者からは「更新しやすく、使いやすい」と高く評価いただいています。現場で培った知見と実績をもとに、クライアントのWEB活用を支援するとともに、その実践から得た学びをブログで発信しています。
一部の制作実績はホームページ内の「制作事例」で公開中です。
2026.08.15
