WordPressのリモートコード実行の脆弱性、公開エクスプロイトが登場

WordPressの脆弱性を連鎖させてリモートコード実行(RCE)を達成できる公開概念実証(PoC)エクスプロイトが公開されたことを受け、WordPressを運用する組織は最新のWordPressセキュリティアップデートの適用を優先すべきです。 

「これは痛手になるでしょう。WordPressは全世界で数億のウェブサイトで稼働しています。ホスティングプロバイダーによって自動的にパッチが適用されるサイトもありますが、そうでないサイトも多く、そこで被害が発生することになります」と、watchTowrのCEO兼創業者であるBenjamin Harris氏はeSecurityPlanetへのメールで述べています。

WordPressの脆弱性に関する要点

• WordPress Coreに影響する「wp2shell」攻撃チェーンについて、公開概念実証(PoC)エクスプロイトが現在利用可能
• CVE-2026-63030とCVE-2026-60137を連鎖させることで、影響を受けるWordPress 6.9.x系および7.0.x系のインストールに対し、認証前のリモートコード実行が可能
• この脆弱性はWordPressのデフォルトインストールに影響し、悪用にプラグインやカスタム設定は不要
• 公開エクスプロイトは、管理者の認証情報窃取や認証前のリモートコード実行を含む複数の攻撃経路を実証
• 組織は直ちに最新のWordPressセキュリティリリースへ更新し、影響を受けるシステムに正しくパッチが適用されたことを確認すべき

WordPress「wp2shell」RCE攻撃の仕組み 

「wp2shell」と名付けられたこの攻撃チェーンは、CVE-2026-63030とCVE-2026-60137という2つの脆弱性を組み合わせることで、バージョン6.9.xおよび7.0.xを実行するデフォルトのWordPressインストールに対し、認証前のリモートコード実行を達成します。 

この脆弱性はSearchlight Cyberによって発見されたもので、同社の報告によると、この攻撃には前提条件が一切なく、プラグインやカスタム設定を必要とせず標準のWordPressインストールに対して悪用可能だとしています。 

CVE-2026-63030

1つ目の脆弱性であるCVE-2026-63030は、WordPress 6.9で導入されたREST APIのバッチルート混同の欠陥です。 

この脆弱性により、攻撃者はREST APIのバッチ処理機能を意図されていない方法で悪用できます。 

単体ではこの欠陥だけでリモートコード実行には至りませんが、より広範な「wp2shell」攻撃チェーンの重要な構成要素として機能します。

CVE-2026-60137

2つ目の脆弱性であるCVE-2026-60137は、WP_Query内のauthor__not_inパラメータに影響を及ぼす、深刻度の高いSQLインジェクションの欠陥です。 

この脆弱性はWordPress 6.8以降に影響し、入力処理の不備を通じて攻撃者がデータベースクエリを操作できてしまいます。 

この2つの脆弱性を連鎖させることで、未認証の攻撃者はWordPressバージョン6.9.0から6.9.4、および7.0.0から7.0.1に対して認証前のリモートコード実行を達成できます。 

このSQLインジェクションの脆弱性はWordPress 6.8.x系のリリースにも影響しますが、これらのバージョンにはエクスプロイトチェーンの完成に必要なREST APIバッチルート混同の欠陥が含まれていないため、「wp2shell」の完全な攻撃には脆弱ではありません。

エクスプロイトコードが公開されたことで、影響を受けるバージョンを運用する組織にとって対応の緊急性はさらに高まっています。 

セキュリティアップデートの公開以降、複数のPoCがGitHub上で公開されています。 

その一部は、SQLインジェクションの脆弱性を利用してWordPressのパスワードハッシュを抽出し、管理者の認証情報を解読した上で、悪意のあるプラグインをアップロードし、任意のコマンドを実行する手法を実証しています。 

また別のPoCは、管理者の認証情報を必要としない認証前のリモートコード実行を実証しており、Searchlight Cyberが説明する攻撃チェーンの内容と一致しています。

WordPressのRCE脆弱性を緩和する方法 

セキュリティチームは、露出を減らすための対策を講じるとともに、悪用の兆候を監視し、システムがすでに侵害されている場合に備えた復旧の準備を進める必要があります。 

• 更新: 影響を受けるすべてのWordPressインストールを最新のセキュリティリリースに更新し、自動セキュリティ更新が正常に完了したことを確認する。 
• Webアプリケーションファイアウォール(WAF)による保護を活用し、影響を受けるシステムにパッチを適用できるまでの露出を軽減する。 
• インターネットに公開されているWordPressサイトを棚卸しし、脆弱なバージョンが稼働しているインスタンスがないか特定する。
• Webサーバーおよび WordPressのログを監視し、不審なREST APIリクエスト、SQLインジェクションの試み、予期しない管理者アカウント、不正なプラグインのアップロード、その他侵害の兆候がないか確認する。
• 侵害が疑われる場合は、管理者の認証情報をローテーションし、有効なセッションを無効化した上で、不正な変更やWebシェルがないかファイル整合性チェックを実施する。
• リモートコード実行(RCE)のシナリオを用いてインシデント対応計画をテストし、バックアップと復旧手順を検証する。 

これらの対策を組み合わせることで、組織は露出を軽減しつつ、全体的なレジリエンスを強化できます。 

結論

今回公開されたパッチは脆弱性そのものに対処するものですが、組織はこの機会を活用し、インターネットに公開しているWordPress環境のセキュリティを見直すべきです。 

また、必要な際に検知、インシデント対応、復旧の各機能が十分機能する状態にあるかどうかも検証しておくべきです。 

今回のアップデートは目先のリスクに対処するものですが、同時にゼロトラストがインターネットに公開された環境全体での露出をどのように抑制できるかを見直す機会にもなります。