WordPressの重大なエクスプロイトチェーン「WP2Shell」が確認されました。REST APIのルート混同とSQLインジェクションを組み合わせることで、認証されていない攻撃者が脆弱なWebサイト上で任意のコードを実行できます。
Seqriteの研究者Amruta Wagh氏は、このチェーンを2026年7月に公開されたWordPress Coreのセキュリティ問題だと説明しています。攻撃者は事前に認証情報を入手しなくても、攻撃を仕掛けられます。
この分析が詳述しているのは、実証された攻撃手順であり、広範囲に及ぶ攻撃ではありません。攻撃が成功すると、公開されているエンドポイントから、管理者アカウントの作成、そしてサーバー上でコマンドを実行できる悪意あるプラグインの設置へと進みます。
1つ目の脆弱性CVE-2026-63030は、/wp-json/batch/v1で公開されているREST APIのバッチコントローラーに影響します。この機能は、1つのJSONペイロードで送信された複数のAPIリクエストを処理します。
セキュリティチームによると、外側のリクエストの中に内側のバッチ構造を入れ子にすると、ルートの解決が混乱します。その結果、認証されていない攻撃者が、本来は認証が必要なハンドラーに到達できてしまいます。この脆弱性は侵入経路を提供するものの、それだけでリモートコード実行が成立するわけではありません。
2つ目の脆弱性CVE-2026-60137は、REST APIの投稿エンドポイントを通じたSQLインジェクションです。公開パラメータauthor_excludeは、内部でWP_Queryのauthor__not_in引数に対応付けられます。入力処理が不十分なため、細工された値がデータベースクエリに影響を及ぼします。
この2つの弱点を連鎖させると、脆弱なクエリ機能に事前認証なしで到達できます。実証された手順では、続いて管理者としての足場を確立し、プラグイン型のWebシェルをインストールします。
したがって、リモートコード実行はルート混同だけで直接起こるのではなく、複数の攻撃段階を経て実現します。
報告されたステージングの手順は、wp-content/配下にtemp-write-test-*に一致する一時ファイルを作成することから始まります。ディレクトリへの書き込みが可能かを確かめ、その後ファイルを削除しているとみられます。
続いて、wp2shell_4e9b3641.zipのようなZIPアーカイブがwp-content/uploads/2026/10/の下に書き込まれます。展開するとwp-content/upgrade/wp2shell_<hex>/内にPHPペイロードが作られ、そのディレクトリがwp-content/plugins/wp2shell_<hex>/へ移動されます。
観測された環境では、これらのファイルシステム操作をhttpd.exeが実行していました。プラグインのインストール時にWebサーバーが動作するのは正当な場合もあります。しかし、WP2Shell特有のファイル名、予期しないPHPファイルの変更、新たに作成された管理者アカウントは、調査の手がかりになります。
防御側は、これらの痕跡を、不審なバッチエンドポイントへのリクエストや、攻撃が疑われる同じ期間に発生したアプリケーションの変更と突き合わせて分析する必要があります。
報告書によると、チェーン全体の影響を受けるのはWordPress 6.9.0から6.9.4、および7.0.0から7.0.1です。6.8.0から6.8.5は、SQLインジェクションの脆弱性の影響を受けるとされています。
管理者は、報告された修正版である6.8.6、6.9.5、7.0.2、または適切な後続のサポート対象バージョンへの更新を優先してください。
運用上可能であれば、REST APIの重要な機能への未認証アクセスを制限することで、リスクを減らせます。調査では、不審なプラグインディレクトリ、予期しない管理者アカウント、最近変更されたPHPファイルを確認する必要があります。
Quick Healは、不審なプラグインのPHP変更を検知する振る舞い検知と、CVE-2026-63030を狙うネットワークシグネチャを提供していると報告しています。パッチ適用や調査に加えて、監視を強化できます。
脅威調査を効率化し、手作業を減らすために、16,000以上のSOCチームがANY.RUNを利用しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-wordpress-flaws/
