WordPress Coreに新たに発見された「wp2shell」脆弱性(CVE-2026-63030/CVE-2026-60137)が、すでに攻撃者によって悪用されていることが確認されています。問題の中心にあるのは、REST APIのバッチ処理機能を悪用したリモートコード実行(RCE)で、認証不要で攻撃できる点が、今回の脆弱性を特に危険なものにしています。
WordPressはすでに修正版(7.0.2/6.9.5/6.8.6)を公開し、自動アップデートが順次適用されていますが、攻撃はその直後から活発化しています。
攻撃者が行っている具体的な手口
クラウドセキュリティ企業Wizの分析によると、攻撃者は以下のような行動を取っています。
- 脆弱なWordPressサイトを大量スキャン
- プラグインアップロード機能を悪用し、悪意あるプラグインを設置
- シンプルなバックドアから高度に難読化されたwebshellまで、様々なPHPシェルを配置
- REST APIを使って管理者のユーザー名やメールアドレスを収集
- admin-ajax.phpを経由したローカルファイルインクルードでwp-configを狙い、DB認証情報を窃取
- 外部からコマンド実行できるREST APIエンドポイントを持つ悪意あるプラグインを展開
- 管理画面への不正アクセス
現時点では横移動やデータ流出は確認されていないものの、攻撃者が継続的に活動していることが報告されています。
また、Sans Technology InstituteのJohannes B.Ullrich氏は、攻撃が以下の二段階で行われていると指摘しています。
- SQLインジェクションで脆弱性の有無を確認
- PHP webshell を /wp-content/cache/ に設置
設置されたwebshellはランダムなファイル名を持ち、その名前自体がアクセス用のパスワードとして使われる仕組みです。通常アクセスでは偽の404ページを返すため、発見が難しい構造になっています。加えて、一部の攻撃では不正な管理者アカウントの作成も確認されており、サイト管理者はユーザー一覧のチェックが必須です。
WordPressセキュリティ企業Defiantによれば、最初の攻撃関連のprobingは7月17日23: 29 UTCに観測され、そのわずか13分後には明確なSQLインジェクション攻撃が始まったとのこと。脆弱性公開から攻撃開始までのスピードが非常に速い点が印象的です。
サイト管理者が取るべき対策
今回の脆弱性はすでに広く悪用されているため、以下の対策が急務です。
- WordPressを最新バージョンへ更新
- wp2shell関連のログを確認
- インストール済みプラグインの見直し
- /wp-content/cache/内の不審なPHPファイルをチェック
- 新規作成された管理者アカウントの有無を確認
wp2shell脆弱性は、WordPressのシェアを考えると非常に影響範囲が大きい問題であり、サイト管理者は「自分のサイトは大丈夫」と油断せず、即時のアップデートとログ確認を行う必要があります。
