京都教育大学の6サイトに不正アクセス、WordPress脆弱性「wp2shell」悪用でページ改ざん―CVE-2026-60137・63030

京都教育大学は2026年10月13日、学内のWebサーバーが第三者による不正侵入を受け、大学の学科および附属学校・幼稚園に関する計6サイトでWebページの一部が改ざんされたと発表しました。侵入の原因として、WordPress本体の脆弱性を連鎖させる攻撃手法「wp2shell」（CVE-2026-60137、CVE-2026-63030）の悪用を確認しています。

大学は7月22日に学内サーバーへの不審なアクセスを多数確認し、調査を開始しました。その後、対象サイトへの外部からのアクセスを停止。侵害されたサイトを復元し、脆弱性対策を講じたうえで、9月4日までに6サイトすべての公開を再開しました。他のサーバーやシステムへの被害拡大、個人情報・機密情報の漏えいは確認されていません。

京都教育大学のWebサイト改ざんのサマリー

• 公表日：2026年10月13日
• 不審アクセスの確認日：2026年7月22日
• 対象：京都教育大学および附属学校・幼稚園の計6サイト
• 確認された被害：Webサーバーへの不正侵入、Webページおよびサイト内の一部ファイルの改ざん
• 原因：WordPress本体の脆弱性「wp2shell」（CVE-2026-60137、CVE-2026-63030）の悪用
• 侵入に用いられたもの：攻撃者が設置したPHPファイル
• 初動対応：対象6サイトの外部アクセスを停止
• 復旧：サイトのリストアと脆弱性対応を実施し、9月4日に6サイトすべての公開を再開
• 他システムへの拡大：確認されず
• 個人情報・機密情報の漏えい：確認されず。対象サーバーは公開用で、これらの情報を保有していなかったと説明

家政科・理学科・附属高など6サイトが改ざん

大学が不正侵入とページ改ざんを確認したのは次の6サイトです。

1. 家政科
2. 理学科
3. 教育学科心理学教室
4. 附属高等学校
5. 附属桃山中学校
6. 附属幼稚園

7月22日に担当者が学内サーバーへの多数の不審なアクセスを確認したことを契機に調査した結果、これらのサイトへの侵入と、一部ファイルの改ざんが判明しました。大学は対象サイトへの外部アクセスを停止し、復旧作業を進めました。

大学の説明によると、攻撃者は脆弱性を悪用して侵入用のPHPファイルを設置し、そのファイルを利用してWebサーバーに侵入しました。PHPファイルはWebサーバー上でプログラムを実行するために利用できるファイル形式であり、不正に設置された場合には攻撃者がサーバーを操作する足掛かりとなります。ただし、今回の公表では不正ファイルの具体的な内容や、改ざんされたページの表示内容までは明示されていません。

原因の「wp2shell」とは？WordPress本体の2つの脆弱性を連鎖

wp2shellは、WordPress本体に存在した複数の欠陥を組み合わせ、認証されていない第三者によるリモートコード実行（RCE）につながる攻撃手法です。プラグインやテーマ固有の問題ではなく、WordPress本体の欠陥が対象となります。

関連する脆弱性は次の2件です。

WordPressは2026年7月17日、これらの問題を修正するセキュリティリリース「7.0.2」を公開しました。同時に6.9系では6.9.5を提供し、6.8系では該当するSQLインジェクションの問題を6.8.6で修正しています。完全なwp2shellの攻撃連鎖は6.9系および修正前の7.0系に影響し、6.8系では同じRCE連鎖には至らないとされています。

今回の大学の事例では、WordPressの脆弱性に関する一般的な注意喚起ではなく、実際の侵入とファイル改ざんが確認された点が異なります。また、7月17日に修正版が公開され、7月22日に大学側が不審アクセスを検知していることから、公開済みの脆弱性に対する修正適用状況と、適用前後の侵害調査の両方が課題となります。ただし、大学が攻撃を受けた正確な日時や、当時運用していたWordPressの詳細なバージョンは公表されていません。

脆弱性の技術的概要、影響バージョン、公開エクスプロイトについては、セキュリティ対策Labの既報「WordPress本体で危険度の高い脆弱性『wp2shell』、サイバー攻撃への悪用が発生」で解説しています。

9月4日までに復旧完了、個人情報や機密情報の漏えいは確認されず

京都教育大学は侵入を受けた6サイトについて、リストアと脆弱性への対応を行い、9月4日までに外部公開を再開したとしています。また、調査では当該Webサーバーから他のサーバーやシステムへの被害拡大は確認されませんでした。

対象のWebサーバーはページの公開を目的としたもので、個人情報や機密性の高い情報は保有していなかったため、これらの漏えいも確認されていないと説明しています。今回公表された被害は、現時点ではWebサイトの改ざんと公開停止が中心です。

大学は今後、学外に公開しているサーバーのセキュリティ対策を再点検し、必要な対策の実施と関係者への指導を進める方針です。

WordPress管理者が確認したい点―更新だけでなく不正ファイルの調査も

WordPressを使用した公開サイトで不正侵入が確認された場合、修正版を適用するだけでは攻撃者が設置した不正ファイルや不正アカウントを除去できない可能性があります。今回のようにPHPファイルの設置まで確認された事案では、侵入後の変更内容を調べる必要があります。

確認項目としては、管理するWordPressサイトの本体バージョンとセキュリティ更新状況、想定外のPHPファイルや更新日時の不審な差分、管理者アカウントやプラグインの変更、Web・認証ログ上の異常なアクセス、バックアップの健全性などが挙げられます。

復旧時には、改ざん前の状態を確認できるバックアップを用いてファイルとデータベースを点検し、脆弱性の修正と不正ファイルの除去、認証情報の見直し、再公開後の監視を一連の対応として扱います。特に大学・学校のWebサイトは、学科・研究室・附属施設で個別に管理されるケースもあるため、公開サーバーと管理担当者を一覧化し、更新の適用状況を横断的に把握する運用が必要です。

出典

• 本学Webサーバーへの不正侵入に伴うWebページの一部改ざんについて（2026年10月13日）－京都教育大学
• WordPress 7.0.2 Release（2026年7月17日）－WordPress.org
• Version 7.0.2－WordPress.org Documentation