【セキュリティニュース】2026年8月18日号｜WordPress本体に未認証RCE「wp2shell」が悪用中／メール・SMS配信サービスのアクセスキー乗っ取り相次ぐ／アスクルの漏えい懸念が約134万件に拡大

▌中小企業への影響

コーポレートサイトや採用サイト、オウンドメディアをWordPressで運用している中小企業は非常に多く、この脆弱性は「プラグインの有無に関わらず本体そのものが対象」という点で影響範囲が広大です。乗っ取られるとサイト改ざん、フィッシングの踏み台化、閲覧者へのマルウェア配布、会員情報の窃取などに直結します。制作を外部に委託して以降、更新が止まっているサイトが特に危険です。

▌推奨対応（至急）

• WordPress管理画面でバージョンを確認し、6.9.5／7.0.2 以降へ直ちに更新する（自動更新が無効なら手動で適用）
• サイト制作を外注している場合は、保守契約の範囲と更新状況を委託先に確認する
• 更新後、身に覚えのない管理者アカウント・不審なファイル・改ざんの痕跡がないか点検する
• WAF（Web Application Firewall）を導入し、不正なリクエストを遮断できるようにする
• 管理画面（/wp-admin）へのアクセスをIP制限や多要素認証で保護する

▌中小企業への影響

メール配信・SMS配信・請求書送付などをSaaSに任せている中小企業は多く、これらのサービスは「アクセスキー」や「APIキー」で連携しています。このキーが漏れると、攻撃者はあなたの会社の正規アドレスを名乗ってフィッシングを送れてしまい、取引先や顧客が被害者になります。自社が加害者側の踏み台にされる点で、通常の情報漏えいより信用への打撃が大きくなります。委託先のSaaSが破られれば、自社が預けた情報も一緒に漏れます。

▌推奨対応

• メール／SMS配信サービスなど外部SaaSのアクセスキー・APIキーを棚卸しし、不要なキーは失効させる
• キーの権限を必要最小限に絞る（送信専用キーに管理権限を持たせない、など）。定期的なキーの更新（ローテーション）も検討する
• キーをソースコードや共有ファイル、メールに平文で残していないか確認し、見つかれば作り直す
• SaaS管理画面のログイン自体にも多要素認証（MFA）を設定し、送信ログの異常を検知できるようにする
• 委託先を選ぶ際・契約更新時に、インシデント発生時の通知体制やセキュリティ対策の状況を確認する

▌中小企業への影響

ランサムウェアの怖さは、業務停止そのものよりも「漏れた情報の全容が長期間わからない」点にあります。調査には専門的なフォレンジックが必要で、時間もコストもかかります。中小企業では調査体制が乏しく、被害範囲を特定しきれないまま対応が長期化しがちです。また、大手取引先が被害に遭えば、そこに預けた自社・顧客の情報が巻き込まれる可能性もあります。日頃のバックアップと、被害時に相談できる窓口の確保が要になります。

▌推奨対応

• 重要データのバックアップを、ネットワークから切り離した形（オフラインまたは書き換え不可の保管）でも取得しておく
• バックアップから実際に復元できるか、定期的にリストア訓練を行う
• ランサムウェアの主な侵入口であるVPN機器・RDP（リモートデスクトップ）の公開範囲と更新状況を点検する
• 被害時に相談する専門機関・支援ベンダーの連絡先を事前に決めておく（IPAや都道府県警のサイバー窓口を含む）
• 取引先が被害を公表した場合は、自社が預けている情報が対象に含まれないか確認する