株式会社学研メディカルサポート ／ Web 制作事業部が管理する WordPress サイト
受託管理する WordPress サイト 78 件が脆弱性を突かれ、不正な管理アカウント作成・パスワード書き換え
最終更新 2026-10-11
概要（公表された事実）
| 公表主体 | 株式会社学研メディカルサポート |
|---|---|
| 業種 | 教育，学習支援業 |
| 経緯 | 判明: 2026-08-03 第1報: 2026-08-04 |
| 件数 | 非公表 個人情報・問い合わせ情報の流出や不正利用は確認されていない |
| 漏えいした情報 | |
| 二次被害 | WordPress 内に不正なアカウントが作られ、既存アカウントのパスワードが書き換えられた。閲覧障害は確認されていない |
分類
| 侵入経路 | 既知の脆弱性 WordPress の脆弱性を狙った不正アクセス。対象はバージョンアップを予定していた（未更新の）78 サイト。具体的な脆弱性・CVE は非公表 |
|---|---|
| MFA | 不明 |
| 委託先・SaaS 経由 | 公表文では触れられていない |
| 原因の公表度 | 公表あり |
| 判定 | 判定に必要な事実が非公表 根拠: 既知の脆弱性とされたが、パッチ公開日・侵入日が公表されていない（判定ルール） |
根拠となる公表文の記載
「Webサイト作成ツール「WordPress」の脆弱性を狙った不正アクセスが発生いたしました」侵入経路 の根拠 ／ 出典
「WordPressのバージョンアップを実施予定であった78サイト」侵入経路 の根拠 ／ 出典
何が起きたか（エンジニアによる推定）
この節は公表された事実ではなく、公表文から読み取れる範囲の推定です。
学研メディカルサポートは脆弱性を特定していない。以下は公表文の時期と症状からの推定。
- 2026年7月17日に WordPress Core の未認証 RCE につながる脆弱性（CVE-2026-63030 / CVE-2026-60137、通称 wp2shell）の修正版が公開され、7月21日に CISA KEV に登録されている。不正アクセスの確認（8月3日）はその約2週間後
- 公表された被害が「不正なアカウント生成」と「既存アカウントのパスワード書き換え」で、対象が「バージョンアップを実施予定であった」サイトに限られている。未更新の本体を狙い、管理者アカウントを作る攻撃の特徴と合う
- ただし、プラグインやテーマの脆弱性でも同じ症状になりうる。どの脆弱性かは公表されていない
自分のシステムで確認すること
| 確認項目 | やり方 |
|---|---|
| 受託・管理している WordPress の本体を、セキュリティリリース当日に更新できる体制か | 管理サイトの一覧とバージョンを台帳化し、本体のマイナー・セキュリティ更新は自動更新を有効にする。自動更新を止めているサイトは理由と手動更新の担当者を決めておく |
| 管理画面（/wp-admin・/wp-login.php）を誰でも開ける状態になっていないか | Basic 認証や IP 制限などの追加認証を前段に置く。今回の事後対策と同じ措置を、平時から全サイトに入れる |
| 見知らぬ管理者アカウントの作成に気づけるか | ユーザー追加・権限変更をメールや Slack に通知するプラグインやログ監視を入れ、定期的に管理者一覧を棚卸しする |