WordPress核心に無認証RCE「wp2shell」、5億サイトが影響範囲に

無認証で乗っ取り可能な致命的欠陥 #

WordPress本体に、ログイン不要かつプラグインも不要で完全乗っ取りが可能な致命的脆弱性「wp2shell」が見つかった。セキュリティ企業Searchlight CyberのAssetnoteチームが発見したもので、REST APIのバッチルート処理に存在する解釈の混乱がSQLインジェクションを引き起こし、そこからリモートコード実行(RCE)へと連鎖する。特別な設定もプラグインも不要で、素のインストールがそのまま踏み台になる点が深刻さを際立たせる。対象はWordPress 6.9.0〜6.9.4と7.0.0〜7.0.1（SQLi自体は6.8系にも存在するがRCEへの連鎖は6.9以降のみ）。CVE-2026-60137とCVE-2026-63030として登録された。

パッチだけでなく「強制配信」という異例の対応 #

事態を重く見たWordPress.orgは、通常はオプトインの自動更新の仕組みを使い、対象バージョンのサイトに7.0.2（および6.9.5・6.8.6のバックポート）を強制プッシュするという異例の措置を取った。それでも即座に全サイトが更新されるとは限らず、watchTowrなど複数のセキュリティ企業は公開エクスプロイト後に実際の悪用をすでに観測している。更新できない管理者への緊急回避策として、REST APIへの匿名アクセスを遮断するか、WAFで/wp-json/batch/v1系エンドポイントをブロックすることが推奨されている。

ハッカー視点で見るべき教訓 #

WordPressはWeb全体の4割強を支えるCMSであり、今回のようなコア機能の欠陥は特定プラグインの脆弱性よりはるかに影響範囲が大きい。「認証もプラグインも不要」という条件は大量スキャン型の自動攻撃と極めて相性が良く、パッチ公開から悪用開始までの猶予はますます短くなっている。CMS運用者は自動更新を有効にしたうえで、REST APIの公開範囲を普段から最小化しておく設計が有効な防御になる。