WordPress

WordPress Coreに影響を与える重大な「wp2shell」リモートコード実行の脆弱性について、公開エクスプロイトが公開されたため、管理者は直ちにサイトにパッチを適用することが不可欠です。

wp2shell攻撃は、CVE-2026-63030およびCVE-2026-60137として追跡されている2つの脆弱性から構成されており、 これらを組み合わせて利用することで、バージョン6.9.xおよび7.0.xを実行しているWordPressインストール環境に対し、認証前のリモートコード実行が可能となります。

これらの脆弱性は、Searchlight Cyber社のAdam Kues氏によって発見されたもので、同社によれば、認証されていない攻撃者がデフォルト設定のWordPressインストールに対してこれらを悪用できるという。

image

「Searchlight Cyberのセキュリティ研究チームは、WordPress Coreに認証前のRCE（リモートコード実行）の脆弱性を発見しました」とSearchlight Cyberは説明しています。

「この攻撃には前提条件がなく、プラグインを一切インストールしていないデフォルトのWordPress環境において、匿名ユーザーによって悪用される可能性があります。」

Searchlight Cyberの推計によると、5億以上のウェブサイトがWordPressを使用しており、特に公開された概念実証（PoC）エクスプロイトが利用可能になった現在、この脆弱性は甚大な影響を及ぼす可能性があります。

この脆弱性の深刻さを踏まえ、WordPressセキュリティチームは、影響を受けるバージョンを実行しているサポート対象のインストール環境に対し、強制的な自動セキュリティ更新を有効化し、サイト所有者に対して直ちにWordPress 7.0.2または6.9.5へ更新するよう強く促しています。

「これはセキュリティリリースであるため、サイトを直ちに更新することを推奨します」と、WordPressはセキュリティ発表で述べています。

「深刻度の高さから、WordPress.orgチームは、影響を受けるバージョンを実行しているサイトに対し、自動更新システムを介した強制更新を有効にしました。」

この問題は単一の脆弱性ではなく、2つの独立した欠陥であり、これらを組み合わせることで、認証不要のリモートコード実行チェーンを形成することが可能です。

最初の欠陥であるCVE-2026-63030は、WordPress 6.9で導入されたREST APIのバッチルート混同脆弱性です。GitHubのアドバイザリによると、この欠陥はSQLインジェクションの問題と組み合わせて、リモートコード実行を実現することが可能です。

2つ目の脆弱性であるCVE-2026-60137は、「WP_Query」の「author__not_in」パラメータにおけるSQLインジェクションの脆弱性です。WordPressはこれを、WordPress 6.8以降に影響を与える高深刻度のSQLインジェクション脆弱性であると説明しています。

WordPressのアドバイザリによると、完全なRCEチェーンはWordPress 6.9.0から6.9.4、およびWordPress 7.0.0から7.0.1に影響を及ぼします。

このSQLインジェクションの脆弱性はWordPress 6.8.0から6.8.5にも影響しますが、WordPress 6.9でREST APIのバッチルート混同バグが追加されたため、リモートコード実行へと連鎖させることはできません。

wp2shell攻撃の完全なチェーンは、WordPress 6.9.5および7.0.2で修正されました。

Searchlight Cyberは現在、管理者がパッチを適用する時間を確保するため、技術的な詳細の公開を控えており、代わりにwp2shell.comというウェブサイトを開設し、管理者が自身のWordPressインストールが脆弱性の影響を受けるかどうかをテストできるようにしています。

直ちに更新できない組織に対しては、Searchlight Cyberは以下の対策を推奨しています：

  • REST APIへの匿名アクセスを完全にブロックするプラグインをインストールする。または
  • WAFレベルで/wp-json/batch/v1および?rest_route=/batch/v1 をブロックすること。

同社は、これらの対策はシステムが更新されるまでの暫定的な措置としてのみ使用すべきであると警告しています。

また、Cloudflareは、同社のプラットフォームを介してプロキシされているすべてのプラン（無料アカウントを含む）において、これら2つの脆弱性に対するWebアプリケーションファイアウォール（WAF）による保護機能を導入したと発表しました。

Cloudflareによると、これらのルールは、SQLインジェクションの脆弱性（CVE-2026-60137）とREST APIのバッチルート混同の脆弱性（CVE-2026-63030）の両方を悪用しようとする試みをブロックするものです。

「WAFによる保護は、お客様が更新を行う間のリスクを軽減しますが、パッチ適用に代わるものではありません」とCloudflareは述べています。

公開されたPoCエクスプロイト

Searchlight Cyber社は、管理者がパッチを適用する時間を確保するため、技術的な詳細の公開を遅らせていましたが、その後、GitHub上で複数の公開PoC（概念実証）エクスプロイトが公開されています。

公開されているエクスプロイトの中には、これら2つの脆弱性を組み合わせてSQLインジェクションを介してWordPressのパスワードハッシュを抽出後、管理者パスワードを解読してログインし、悪意のあるプラグインをアップロードしてコマンドを実行するものもある。

しかし、他の概念実証（PoC）エクスプロイトでは、管理者資格情報を必要とせずに認証前のリモートコード実行を実現できると主張しており、これはSearchlight Cyberによる脆弱性の説明とより一致している。

はSearchlight Cyberに連絡を取り、同社の攻撃チェーンが管理者パスワードを必要としないことを確認した。

セキュリティ企業watchTowrは、公開されたエクスプロイトの公開後、すでに実環境での悪用事例を確認していると述べています。

「WordPressはセキュリティ面で悪評が高い。しかし現実には、WordPressコアにおける影響の大きい、認証不要のSQLインジェクションやリモートコード実行の脆弱性は、実際にはかなり稀だ」と、watchTowrのCEOベンジャミン・ハリス氏はメールで語った。

「それこそが今回の脆弱性の特異性であり、広範な悪用が定着する前に誰もがパッチ適用に奔走している理由です。watchTowrチームはすでにPoC（概念実証）エクスプロイトが流通しているのを確認しており、実環境での悪用の最初の兆候も見え始めています。」

公開されている概念実証（PoC）エクスプロイトの存在や、実環境での悪用が報告され始めたことを踏まえ、管理者はできるだけ早く、自身のサイトをWordPress 7.0.2または6.9.5に更新する必要があります。