WordPress核心に無認証RCE「wp2shell」、公開PoCで実攻撃確認

二つの「そこそこ」の穴が合体すると致命傷になる #

WordPress Coreに、認証なしでリモートコード実行(RCE)に至る脆弱性の連鎖が見つかった。発見者自身が「wp2shell」と名付けたこの攻撃は、REST APIのバッチエンドポイントにおける検証ズレ(CVE-2026-63030)と、WP_Queryのauthor__not_inパラメータのSQLインジェクション(CVE-2026-60137)を組み合わせる。単体で見ればSQLi側はWPScanの評価でCVSS 5.9・中程度に過ぎない。だが前者を踏み台にすると「認証済みユーザー限定」のはずのSQLi実行経路が誰でも通れる裏口に変わり、合算で致命的な侵害チェーンが完成する。プラグイン不要、標準インストールのままで攻撃が成立する点が厄介だ。

発見から1週間で実攻撃、シェル奪取までの最短ルート #

WordPressは7月17日、緊急版7.0.2で両脆弱性を修正した。だが公開後まもなく実証コードがGitHub上に複数出回り、セキュリティ企業watchTowrは実際の悪用(in-the-wild)を確認したと報告している。確認された手口は、SQLインジェクションでパスワードハッシュを抜き取り→オフラインで解読→管理画面へログイン→悪意あるプラグインをアップロードしてコード実行、という流れ。WordPressは世界のWebサイトの4割強を占めるため、対象バージョン(6.9系・7.0.0〜7.0.1)だけでも露出は膨大だ。

「中程度」の脆弱性を軽視しない #

この事案が示すのは、単独ではCVSS中程度の脆弱性でも、認可チェックの迂回とセットになれば9.8クリティカルに化けるという現実だ。パッチ管理の優先度を単純なCVSSスコアだけで決めるのは危うい。至急のバージョン更新が難しい環境では、Searchlight Cyberが推奨するとおり/wp-json/batch/v1へのアクセスをWAFで遮断するなど、暫定策も併用すべきだろう。