WP2Shell攻撃チェーン：WordPressコアの重大な脆弱性により数百万のWebサイトが遠隔乗っ取りのリスクに晒される

はじめに：WordPressコアにおける完璧な嵐

セキュリティ研究者が近年最も深刻なWordPressの脆弱性の一つと呼ぶ、WordPressコアの2つの重大な欠陥が「WP2Shell」と名付けられた壊滅的な攻撃チェーンとして武器化されました。開示からわずか3日以内に、脅威アクターは世界中の数百万のWordPressインストールを標的とした大規模なエクスプロイトキャンペーンを開始しました。

この脆弱性チェーンは、CVE-2026-63030（REST APIバッチエンドポイントのロジック欠陥）とCVE-2026-60137（SQLインジェクションの脆弱性）を組み合わせ、認証されていない攻撃者がデフォルトのWordPressインストールで完全なリモートコード実行を達成することを可能にします—プラグインや特別な設定は不要です。

WP2Shell攻撃チェーンの理解

つの脆弱性の組み合わせ

WP2Shellは、WordPressがバッチAPIリクエストを処理する方法における根本的な弱点を悪用します。CVE-2026-63030は、バッチRESTエンドポイント（/wp-json/batch/v1）におけるルート混乱バグに起因し、サブリクエストの解析が失敗すると検証ループと実行ループが非同期化します。この配列のずれにより、後続のリクエストが誤ったハンドラーの下で実行され、認証チェックが完全にバイパスされます。

CVE-2026-60137はパズルの2つ目のピースで、WordPressのWP_Queryレイヤー、特にauthor__not_inパラメータにおけるSQLインジェクションの脆弱性です。通常、この脆弱性を悪用するには認証が必要ですが、バッチエンドポイントの欠陥と連鎖すると、攻撃者は資格情報なしで悪意のあるSQLクエリを注入できます。

脆弱性から完全な侵害まで

攻撃の進行は体系的な経路をたどります：

初期スキャンフェーズ： 攻撃者はインターネットに面したWordPressサイトの大規模スキャンを実施し、脆弱なバッチエンドポイントを探索
エクスプロイト： 自動化スクリプトを使用して、攻撃者はルート混乱バグをトリガーし、SQLコマンドを注入
特権昇格： オブジェクトハイドレーションとWordPress内部の操作を通じて、攻撃者は不正な管理者アカウントを作成（多くの場合w2s_というプレフィックス付き）
コード実行： 管理者アクセスを確保した後、攻撃者は悪意のあるプラグインをアップロードし、永続的なリモートアクセスのためにPHP Webシェルを展開

影響を受けるバージョンと範囲

この脆弱性は驚異的な数のインストールに影響します：

WordPress 6.9.0から6.9.4（6.9.5で修正）
WordPress 7.0.0から7.0.1（7.0.2で修正）
WordPress 6.8.5以前のバージョンは影響を受けません

Censysのインターネットスキャンデータ（2026年7月20日時点）によると、露出規模は測定可能で、かつ甚大です：

世界で約6,280万のWordPressインスタンスを観測
完全なWP2Shell RCE攻撃チェーン対象範囲（6.9.x / 7.0.x）のバージョン可視インスタンスは約774万——観測されたWordPress全体の約12%
より広いSQLインジェクション影響範囲（6.8.xも含む）は約860万——約14%
バージョンタグを公開しているのは約**25%**のみのため、実際の脆弱サイト数はさらに多い可能性が高い
最大の単一クラスタ：WordPress 7.0.1だけで約511万インスタンス

野生での積極的なエクスプロイト

エクスプロイトの速度は前例のないものでした。CISAは2026年7月21日に両方のCVEを既知の悪用された脆弱性（KEV）カタログに追加しました—開示からわずか4日後、そして公開概念実証コードが広く利用可能になる前でした。

BitdefenderのManaged Detection and Response（MDR）チームは、興味深いパターンを示す実世界の攻撃を文書化しました：調査された1つのインシデントでは、攻撃者は完全な侵害を達成する前に3回の個別の試みを行いました。最初の2回の試みは管理者アカウントの作成に成功しましたが、Webシェルの展開前に停止しました。3回目の試みは完全なチェーンを完了し、悪意のあるプラグインドロッパーをアップロードし、永続的なアクセスを確立しました。

WatchTowrのハニーポットネットワークは数日以内に数万回のエクスプロイト試行を記録し、異なる脅威アクターによって作成された100以上のバックドア管理者アカウントを特定しました。研究者は、攻撃者がGolangベースのリモートアクセストロイである「Overlord RAT」のダウンロードを試みるなど、さまざまなペイロードを展開するのを観察しました。

AI要因：GPT-5.6と脆弱性の発見

注目すべき展開として、Searchlight Cyberの研究者は、GPT-5.6 Sol Ultra AIモデルの支援を受けてWP2Shellチェーンを発見し、約10時間で攻撃チェーン全体の開発を完了したことを明らかにしました。主任研究者のAdam Kues氏は次のように述べています：「AIの支援がなければ、どのセキュリティ研究者も10時間でこの攻撃チェーンを見つけて完成させることはできなかったでしょう。」

この明らかになった事実は、AIツールが複雑なエクスプロイトチェーンを特定する能力をますます高めているため、脆弱性研究の未来と防御者と攻撃者の間の軍拡競争について重要な疑問を提起します。

即座に必要な対応：緩和手順

直ちに更新

WordPressはセキュリティパッチをリリースし、影響を受けるインストールに対して強制自動更新を有効にしました：

WordPress 6.9.5以降に更新（6.9.xブランチの場合）
WordPress 7.0.2以降に更新（7.0.xブランチの場合）

一時的な緩和策（即座のパッチ適用が不可能な場合）

Webアプリケーションファイアウォールでバッチエンドポイントへの匿名アクセスをブロック：

/wp-json/batch/v1をブロック
?rest_route=/batch/v1をブロック

侵害の調査

パッチ適用後も、組織は以下を行うべきです：

疑わしいバッチエンドポイントリクエストについてHTTPアクセスログを確認
特にw2s_または類似のプレフィックスを持つ不正な管理者アカウントを確認
WordPressインストール内の不明なプラグインやPHPファイルをスキャン
wp-content/plugins/およびwp-content/uploads/ディレクトリ内の最近変更されたファイルを探す

長期的なセキュリティ推奨事項

自動更新を有効化： コア、テーマ、プラグインのWordPress自動更新が有効になっていることを確認
Webアプリケーションファイアウォール（WAF）の実装： 一般的な攻撃パターンを検出してブロックするWAFルールを展開
定期的なセキュリティ監査： WordPressインストールの定期的な脆弱性評価を実施
最小権限の原則： 管理者アカウントを制限し、ユーザー権限を定期的に監査
監視とログ記録： 疑わしい活動を検出するための包括的なログ記録と監視を実装

結論：WordPressセキュリティへの警鐘

WP2Shell攻撃チェーンは、最も広く使用されているプラットフォームでさえ、そのコアコードに深刻な脆弱性を抱えている可能性があることを示す重要なリマインダーです。総合CVSSスコア9.8（10点満点）のこの脆弱性チェーンは、複数の一見中程度の欠陥がどのように組み合わさって壊滅的なセキュリティ障害になるかを示しています。

開示から大規模攻撃までわずか72時間という迅速なエクスプロイトのタイムラインは、即座のパッチ展開と積極的なセキュリティ監視の重要性を強調しています。WordPressを実行している組織は、これを重要な優先事項として扱い、すべてのインストールが安全なバージョンに更新されていることを確認する必要があります。

AI支援による脆弱性研究が進化するにつれて、防御者と攻撃者の両方が新しい能力を獲得します。パッチ競争はますます緊急になり、自動化されたセキュリティ更新と堅牢な監視が、あらゆるWordPressセキュリティ戦略の不可欠な要素となります。