「wp2shell」とは？ WordPressコアの重大なRCE脆弱性を徹底解説

識別子

wp2shell攻撃は、2つの脆弱性からなるチェーンです。

• CVE-2026-63030 — REST APIのバッチエンドポイントにおけるルート混乱の問題。深刻度はクリティカルで、CVSSスコアは9.8です（一部の情報源では当初7.5とされましたが、複数のセキュリティベンダーが9.8に修正しています）。
• CVE-2026-60137 — WP_Queryのauthor__not_inパラメータにおける認証不要のSQLインジェクション。深刻度は高（High）と評価されています。

影響を受けるバージョン

• WordPress 6.9.x: 6.9.5より前の全バージョン（6.9.0〜6.9.4）
• WordPress 7.0.x: 7.0.2より前の全バージョン（7.0.0、7.0.1）
• 旧バージョン6.8.x:6.8.6へのバックポートが提供されています

技術的な詳細

wp2shell攻撃は、2つのバグを連鎖させます。

1. CVE-2026-60137は、認証不要のSQLインジェクションです。攻撃者は細工したHTTPリクエストをauthor__not_inパラメータに送信することで、ログイン情報なしにWordPressデータベースに悪意のあるSQLを注入できます。

2. CVE-2026-63030は、REST APIのバッチエンドポイント（/wp-json/batch/v1）におけるルート混乱の欠陥です。このエンドポイントは単一の呼び出しで複数のサブリクエストを処理します。パース処理の特殊性により2つの内部配列の同期がずれ、攻撃者はルート制限を回避して、通常は許可されない内部API呼び出しを連鎖させることができます。

これらを組み合わせることで、攻撃者はバッチエンドポイントを利用してSQLインジェクションを悪用するネストされたリクエストを行います。これにより、以下の方法で完全なリモートコード実行にエスカレーションします。

• MySQLのINTO OUTFILEコマンドを介してファイルシステムに任意のデータ（PHPウェブシェルなど）を書き込む、または
• PHPを実行するWordPressオプションを操作する。

この攻撃は認証を必要とせず、プラグインも不要で、デフォルトのWordPressインストールで動作します。2026年7月18日の時点で、wp2shell.comに公開された検査ツールと、動作するPoCエクスプロイトが出回っています。

重要な補足事項として、永続オブジェクトキャッシュ（RedisやMemcachedなど）を使用している場合、エクスプロイトの経路が変化したり、部分的な緩和策になる可能性はありますが、根本的な脆弱性がなくなるわけではありません。

修正手順

1. すぐにアップデートする — WordPress 6.9.5、7.0.2、または6.8.6にアップグレードしてください。自動アップデートが有効になっているほとんどのサイトでは、強制アップデートがすでに適用されているはずです。
2. バージョンを確認する — ダッシュボード → 更新、またはwp-includes/version.phpファイルを確認してください。
3. すぐにアップデートできない場合、仮想パッチやWAFルールを導入してください。Cloudflareはwp2shellの攻撃ベクトルを特にブロックするWAFルールを公開しています。
4. 侵入の痕跡を確認する — wp-content/uploads/内の予期しないファイル、見慣れない管理者ユーザー、不審なデータベースエントリがないか確認してください。大規模な悪用は確認されていませんが、PoCが公開されたため、スキャンは開始されている可能性があります。
5. データベースユーザーの権限を見直す — WordPressのデータベースユーザーにFILE権限（INTO OUTFILEを有効にする）が付与されていないことを確認してください。これにより、RCEへのエスカレーション経路を制限できます。

なぜWordPressのオープンソースという性質が深刻なリスクを生むのか

実際の悪用が確認されていない場合でも、オープンソースモデルはwp2shellにおいて独特かつ深刻なリスクをもたらします。

• 攻撃者にとっての完全なソースコードの透明性 — WordPressはオープンソースであるため、誰でもパッチ適用後のバージョンをダウンロードし、脆弱性のあるバージョンとコードを比較（差分解析）することで、パッチ公開から数時間以内に正確なエクスプロイト経路をリバースエンジニアリングできます。セキュリティベンダーは、ソースコードの差分解析により脆弱なコードが即座に明らかになると確認しています。
• 防御側の時間的猶予の短縮 — プロプライエタリソフトウェアではエクスプロイト開発に独自の脆弱性調査が必要なのに対し、オープンソースのパッチは事実上、脆弱性の詳細を公開してしまうことになります。防御側は数日単位ではなく、数時間単位でグローバルにパッチを適用する必要があります。
• 巨大で多様な攻撃対象領域 — WordPressは全ウェブサイトの約43%を支えています。何百万ものインストールは、セキュリティ成熟度が大きく異なる運営者によって管理されています。多くのサイトは放置され、古いPHPバージョンを使用していたり、自動アップデートが無効になっていたりするため、エクスプロイトコードが公開されると格好の標的となります。
• 悪用のための低いハードル — PoCのチェッカーとエクスプロイトコードはパッチ公開から24時間以内に公開されました。中程度のスキルを持つ攻撃者であれば、公開されたコードを大量スキャン用の武器に容易に改造できます。
• 認証の壁がない — 脆弱性チェーン全体が認証前（プリオーセンティケーション）であり、標準のWordPressに対して動作します。攻撃者は有効な認証情報、脆弱なプラグイン、特別な設定を一切必要としません。これにより、脆弱性を大規模に武器化するための労力が劇的に低下します。

つまり、オープンソースモデルにおいては、パッチそのものが詳細な情報公開文書となり、質にばらつきのある膨大なインストールベースが脆弱なターゲットの尾を長引かせるため、「公式な」悪用が観測される前であっても、高いリスク期間が生じるのです。