攻撃者が、WordPressに存在する2件の重大な脆弱性を悪用した攻撃を広範囲で開始しています。これらの脆弱性を連鎖させることで、認証なしでのリモートコード実行（RCE)が可能となり、脆弱なWebサイトを完全に乗っ取ることができてしまいます。
この攻撃は、CVE-2026-60137とCVE-2026-63030として識別されるこの2つの脆弱性に対して、多数の実証コード(PoC)が容易に入手できる状況によって勢いを増しています。Searchlight Cyberの研究者は、脆弱性調査中にGPT-5.6 Sol Ultraを使ってこれらの欠陥を発見し、このエクスプロイトチェーンを「WP2Shell」と名付けました。
この脆弱性は、デフォルトのインストール構成を使用している全世界数千万、場合によっては数億件ものWordPressサイトに影響を及ぼす可能性があり、攻撃者に膨大な数の標的候補を提供する形となっています。攻撃の速度と規模を考えると、まだパッチを適用していない組織はすでに侵害を受けている可能性が高いといえます。watchTowrの主任セキュリティ研究者であるJake Knott氏は、次のように述べています。「防御側は、パッチ適用の有無にかかわらず、自社のWordPressインスタンスに新規の管理者アカウントや悪意あるプラグイン、その他不審なファイルがないか点検する必要があります」
WP2Shell：危険なサイバー攻撃コンビ
CVE-2026-60137は、WordPress Coreに存在するSQLインジェクションの脆弱性で、攻撃者がデータベースクエリを操作し、本来公開されるべきではないデータにアクセスできてしまうというものです。単独の脆弱性としては、認証済みユーザーによってのみ悪用可能です。しかし、WordPressのBatch REST APIに存在するロジック上の欠陥であるCVE-2026-63030と組み合わせることで、認証なしでも到達可能になってしまいます。Batch REST APIは、コンテンツの作成・更新・取得といった複数のリクエストを1回のAPI呼び出しにまとめることをアプリケーションに許可する機能です。この脆弱性は、バッチエンドポイントがリクエストを検証する方法と、後にそれを実行する方法との間に不一致があることに起因しています。攻撃者はこのずれを悪用し、本来であれば有効なログインを必要とするはずのチェックをすり抜けて、悪意あるリクエストを紛れ込ませることができます。
この2つの脆弱性を連鎖させて悪用すると、ログイン認証情報を一切持たない未認証の攻撃者が、デフォルト状態のWordPressインストールに対して完全なRCEを獲得できてしまいます。
Searchlight Cyberのセキュリティ研究者Adam Kues氏は、この状況がAIの潜在的な悪用の威力を示していると述べています。同氏によると、GPT-5.6 Sol Ultraは脆弱性の発見とエクスプロイトチェーンの開発を、わずか10時間で完了させる助けとなったとのことです。
Kues氏は次のように記しています。「一般論として断言するつもりはありませんが、AIなしでこのエクスプロイトチェーンを10時間で発見・完成させられたセキュリティ研究者はいないと、私は完全な自信を持って言えます。仮に元となるバグを最初から提示し、RCEへの悪用を依頼したとしても、その時間内に実現できたかどうか怪しいと思います」
WordPressサイトへの広範な影響の可能性
この脆弱性は、WordPressバージョン6.9.0～6.9.4および7.0.0～7.0.1に影響します。WordPressは7月17日に、両方の脆弱性に対処するセキュリティアップデートを公開しました。
WordPressは次のように述べています。「深刻度の高さを踏まえ、WordPress.orgチームは、影響を受けるバージョンを実行しているサイトに対して、自動更新システムを通じた強制アップデートを有効にしました」
ブログ投稿の中で、VulnCheckは、7月19日（日曜日）時点で、WP2Shellを標的とする20件を超える独自のPoCエクスプロイトを確認済みであるとしています。これは最初の脆弱性公開からわずか2日後にあたります。VulnCheckは次のように述べています。「注目度の高い脆弱性公開の後には、さまざまな公開エクスプロイトや大規模な悪用が続く可能性が非常に高いことを踏まえ、影響を受けるユーザーはできるだけ早急に修正済みバージョンのWordPressへアップデートすべきです」
watchTowrのKnott氏は、同社が金曜日以降、自社のAttacker Eyeハニーポットネットワークを通じてWP2Shellのエクスプロイト活動を注意深く監視してきたと述べています。土曜日の未明(UTC)には、攻撃者はすでに両方の脆弱性の悪用を本格的に進めており、当初は公開されたエクスプロイトコードを使ってハッシュ化された認証情報を窃取し、その後、追加の詳細情報が判明するにつれて、脆弱なシステム上でリモートコードを実行するようになっていました。
同氏は次のように述べています。「脆弱性が一般に公開されてしまえば、最先端のAIモデルの助けを借りて再現するのは、時間とトークン数の問題に過ぎませんでした」。実際、watchTowrはCVE-2026-63030については公開からわずか数分で、CVE-2026-60137についても多少の追加作業を経て、いずれもたやすく再現できたと同氏は指摘しています。
数万件に上るエクスプロイト試行
Knott氏によると、watchTowrのハニーポットは数万件の悪用試行を記録しており、公開ツールの亜種を使用したさまざまな脅威アクターによって作成された100件を超えるバックドアアカウントを検知しているとのことです。この攻撃は無差別かつ日和見的な性質を持ち、あらゆる規模・業種の組織に影響を及ぼしています。
Knott氏は次のように述べています。「バックドアとなる管理者アカウントが一度作成されると、攻撃者は偽のWordPressプラグインを展開してリモートコード実行を獲得したり、認証情報や機密情報を窃取したり、システムをさらに侵害するための追加ツールをダウンロードしたりしていました。ある事例では、Golangベースのリモートアクセス型トロイの木馬であるOverlord RATを繰り返し取得しようとする脅威アクターの様子を確認しました」
Dark Readingに対するコメントの中で、Mondooの最高セキュリティ責任者であるPatrick Munch氏は、SQLインジェクションの脆弱性とRCEの欠陥の組み合わせが、WP2Shellを攻撃者にとって特に魅力的なものにしていると述べています。「SQLi単体ではWordPressデータベースへの侵入しかできません。RCEがあればサーバー全体を手に入れられます」と同氏は言います。「この2つと、データを漏洩させる『だけ』の脆弱性を組み合わせれば、最終的にホスト上でWebシェルを手にすることになります」
Munch氏によれば、この2つの新たな脆弱性がこれほど魅力的である理由は、防御側が通常であれば阻止できるはずのあらゆる段階を、攻撃者が飛ばせてしまう点にあるといいます。「盗まれたパスワードもなければ、フィッシングされたユーザーもなく、脆弱なプラグインすら必要ありません。標準的なインストール環境に対する匿名の1回のリクエストだけで済んでしまうのです。つまり、悪用行為はキャンペーンではなくスクリプトで完結してしまうため、攻撃者はインターネット全体を対象にして標的を一斉に探索できてしまいます」
