重大な「wp2shell」WordPress脆弱性が悪用され、ウェブシェル設置の被害

ハッカーがWordPress Coreに影響する重大な脆弱性群「wp2shell」（CVE-2026-63030およびCVE-2026-60137）を悪用し、被害を受けたサーバーに永続的なウェブシェルを仕込んだり、悪意あるプラグインをインストールしたりしています。

この重大なエクスプロイトチェーンは、WordPress REST APIのバッチ処理機能を悪用するもので、リモートの攻撃者が認証を行うことなく脆弱なインストール環境上でコードを実行できてしまいます。

技術的な詳細は公開されていませんでしたが、脅威インテリジェンスおよびサイバーリスク管理を手がけるSearchLight Cyberがwp2shellのセキュリティ問題を開示した直後の週末に、概念実証（PoC）エクスプロイトが出回り始めました。

WordPressがバージョン7.0.2、6.9.5、6.8.6でこの問題に対処し、サポート対象のインストール環境に自動セキュリティアップデートを強制した直後、実際の悪用が確認されました。

クラウドセキュリティ企業のWizは、wp2shellを利用した攻撃の観測結果に関する技術的詳細を公開し、脅威アクターが以下の活動を行っていたと述べています。

• 脆弱なWordPressインストール環境への大規模スキャン（その多くはセキュリティスキャンによるもの）
• WordPressのプラグインアップロード機能を悪用した、悪意あるアドオンのインストール
• シンプルな1行のバックドアから、プラグイン（CMSmap）を装った難読化済みの高機能なシェルまで、幅広いPHPウェブシェルの設置
• WordPress REST APIへの照会による、管理者のユーザー名とメールアドレスの収集
• admin-ajax.php経由でwp-configを標的としたローカルファイルインクルージョン（LFI）の試み。データベース認証情報や認証キーの取得を狙ったもの
• リモートからのコマンド実行用REST APIエンドポイントを公開する悪意あるプラグインの展開
• WordPress管理パネルへの侵入成功