セキュリティ
公開されている実証コード(PoC)も多数存在
WordPressをお使いの方は、今すぐパッチを適用してください。修正プログラムが公開されてからわずか数時間後には、攻撃者が2つのバグを組み合わせて悪用を開始しています。この2つを連鎖させることで、認証前のリモートコード実行(RCE)が可能になります。セキュリティ研究者らによれば、犯人らがAIの支援を受けていた可能性は非常に高いとのことです。
「脆弱性が一般に公開されると、最先端のAIモデルの助けを借りて再現するのは、もはや時間とトークン数の問題に過ぎませんでした」と、watchTowrの主任セキュリティ研究者であるJake Knott氏はThe Registerに語りました。「watchTowrは、CVE-2026-63030を公開後わずか数分で難なく再現でき、2つ目のCVE-2026-60137についても、多少の追加作業は必要でしたが再現に成功しました」
WordPressは金曜日遅くに両方のCVEに対する修正パッチをリリースしましたが、土曜日にはすでに手遅れの状態になっていました。
「土曜日の未明には、悪用がすでに本格化していました。当初は公開された悪用コードを使ってハッシュ化された認証情報を窃取するものでしたが、追加の詳細情報が公開されると、それに続いてリモートコード実行も確認されました」とKnott氏は述べています。「弊社が世界中のクライアントを通じて観測している範囲では、あらゆる規模、あらゆる業種の組織にこの脆弱性の影響が広範囲に及んでいます」
ここでは、金曜日にWordPressがこれらのセキュリティホールを公表し修正して以降の経緯と、両脆弱性の詳細について解説します。
CVE-2026-60137は深刻度が中程度のSQLインジェクションの問題であり、CVE-2026-63030は深刻度が緊急のREST APIバッチルート混同バグです。
「ルート混同の欠陥により、サブリクエスト、検証結果、一致したハンドラーを含む配列がずれてしまいます」と、Hacktronの研究者らは説明しています。これにより、WordPressはどのリクエストが適切に検証済みかを混同してしまい、本来ブロックすべきものも含め、すべてのリクエストを信頼できるものとして扱ってしまいます。
個別に見ると、これらのバグの悪用は困難です。しかし2つを組み合わせると、未認証RCEが可能になるため、脆弱なバージョンのWordPressを使用している組織にとって甚大な被害をもたらしかねません。
WordPress 6.9は両方の脆弱性の影響を受け、バージョン6.9.5で両方とも修正されています。一方、WordPress 6.8はSQLインジェクションの欠陥のみの影響を受け、バージョン6.8.6で修正されています。
さらに、WordPress 7.1 Beta 1も脆弱です。バージョン7.1 Beta 2で両方のCVEが修正されています。
WordPress 6.8より前のバージョンは影響を受けません。
WordPressのコア開発者の一人であるJohn Blackbourn氏は、影響を受けるユーザーに対し「直ちにサイトを更新するように」と推奨しています。この欠陥の深刻さを踏まえ、WordPressのセキュリティチームは「影響を受けるバージョンを実行しているサイト向けに、自動更新システムを通じた強制アップデートを有効化した」と同氏は付け加えています。
このコンテンツ管理システムは、CVE-2026-63030を発見・報告したSearchlight Cyberの研究者Adam Kues氏の功績を認めており、Kues氏はその後の金曜日のアドバイザリで、このバグを「wp2shell」と命名しました。
「この攻撃には前提条件が一切なく、プラグインを何もインストールしていない標準的なWordPressのインストール環境でも、匿名ユーザーによって悪用され得ます」とKues氏は述べ、自身のセキュリティ企業がインスタンスの脆弱性の有無を確認できる無料のwp2shellチェッカーを公開したことを付け加えました。
セキュリティ企業のPatchStackは、金曜夜の時点で両方のCVEの悪用を報告していますが、攻撃の詳細については明らかにしていません。
同じく金曜日からパッチの調査を開始したVulnCheckの研究チームは、日曜日の時点でWP2Shellを標的とした2ダース以上の独自の実証コード(PoC)を確認しました。
「悪用コードが公開されると、攻撃者はインターネット上で無差別に攻撃をばらまき始め、到達可能なあらゆる対象を狙い、運任せで攻撃を仕掛けていました」とKnott氏は語ります。「弊社のハニーポットでは数万件に及ぶ悪用の試みが記録され、公開ツールの派生版を用いて異なる脅威アクターが作成したバックドアアカウントが100件以上確認されました」
これらのバックドア管理者アカウントを作成した後、watchTowrは攻撃者が偽のWordPressプラグインを展開し、RCEの達成、認証情報や機密情報の窃取、あるいはシステムをさらに侵害するための追加ツールのダウンロードを行う様子を観測したと、同氏は付け加えました。「ある事例では、ある脅威アクターがGolangベースのリモートアクセス型トロイの木馬であるOverlord RATを繰り返しダウンロードしようとする様子を確認しました」
月曜日までパッチ適用を待った組織は、すでに侵害されている可能性が高いとKnott氏は警告しています。「防御側は、パッチを適用済みかどうかにかかわらず、自組織のWordPressインスタンスに新規の管理者アカウント、悪意のあるプラグイン、その他の不審なファイルがないか調査する必要があります」と同氏は述べています。®
