2026年7月17日、WordPressコアに存在する2つの脆弱性を組み合わせることで、認証なしに任意のコードを実行できてしまう攻撃チェーン「wp2shell」が公表された。WordPressは世界のウェブサイトの4割超で利用されているとされ、影響範囲の大きさから公表直後より国内外のセキュリティ企業やホスティング事業者が一斉に対応に追われることとなった。本稿では、wp2shellの技術的な仕組みから、実際に確認されている攻撃活動、サイト運営者・訪問者が取るべき対策までを整理する。
wp2shellとは何か
wp2shellは、WordPressコアに存在する2つの脆弱性、REST APIのバッチ処理におけるルート解決の不備(CVE-2026-63030)と、投稿取得処理におけるSQLインジェクション(CVE-2026-60137)を組み合わせた攻撃チェーンの通称である。特定のプラグインの脆弱性ではなくWordPress本体に起因するため、追加のプラグインを一切導入していないサイトであっても、対象バージョンを使っている限り影響を受ける点が大きな特徴だ。セキュリティ企業Searchlight Cyberの調査チームが発見し、7月17日にWordPress側へ報告、同日中に修正版がリリースされている。
2つの脆弱性が持つ意味
CVE-2026-63030は、複数のREST APIリクエストをまとめて処理する「バッチAPI」(/wp-json/batch/v1)の内部処理に存在する不具合だ。リクエストの検証結果と実行対象の対応関係にずれが生じることで、本来通過するはずの権限チェックを一部のリクエストがすり抜けてしまう。
CVE-2026-60137は、投稿を取得する際に特定の投稿者IDを除外するためのパラメータ(author__not_in)の入力値が、想定外の形式で渡された場合にサニタイズされないままSQL文へ組み込まれてしまう不具合である。この2つ目の脆弱性は単体では悪用条件が限定的だが、1つ目の権限チェック回避と組み合わさることで、未認証の第三者が到達可能な攻撃経路に変わる。
攻撃チェーンとしての深刻度
両脆弱性を連結すると、外部の攻撃者はログインすることなくデータベースへ不正なSQLを実行できるようになる。そこから管理者アカウントの作成やプラグインアップロードなどの操作を経て、最終的にはサーバー上で任意のコードを実行できる状態にまで発展しうるとされている。特別な事前条件を必要とせず、匿名のアクセスだけで成立してしまう点が、今回の脆弱性がクリティカル(CVSS 9.8相当)と評価されている理由である。
影響を受けるバージョン
公表された情報によれば、影響範囲は以下の通りとされている。
- WordPress 6.8.0〜6.8.5:SQLインジェクション(CVE-2026-60137)のみ影響。標準構成では悪用条件が限定的。
- WordPress 6.9.0〜6.9.4:両脆弱性の影響を受け、wp2shellとしての攻撃チェーンが成立する。
- WordPress 7.0.0〜7.0.1:同上。
修正版は、6.8.6、6.9.5、7.0.2としてそれぞれ提供されている。影響の大きさから、WordPress.org側は該当バージョンに対して自動更新を強制的に適用する対応を取った。ただし、自動更新が無効化されている環境や、何らかの理由で更新が完了していない環境は引き続きリスクにさらされる。
発覚から悪用までのスピード
今回の事案で特徴的だったのは、脆弱性の公表から実際の攻撃活動が確認されるまでの時間が極めて短かったことだ。サイバー保険会社Coalitionは、7月17日に契約者へ注意喚起を行った後、わずか数日でハニーポット(おとりサーバー)上における実際の攻撃活動の観測を発表している。別のセキュリティベンダーも、パッチ公開から数時間以内にエンドポイントへの探索行為やSQLインジェクションの試行を確認したと報告しており、概念実証コードも公表から日を置かずに出回り始めた。国内ではちょうど三連休の期間と重なったこともあり、更新作業が後手に回ったサイトが多く存在した可能性が指摘されている。
ホスティング事業者・CDN事業者の対応
影響の大きさを受け、国内外の主要なホスティング事業者は緊急の暫定対策を実施した。複数の国内レンタルサーバー事業者は、攻撃の起点となるバッチAPIのエンドポイントへの通信を一時的に遮断する措置を取り、利用者に対してバッチAPIを利用する独自機能が一時的に動作しなくなる可能性があると案内している。CDN大手のCloudflareも週末のうちにWAF(Web Application Firewall)ルールを配信し、既知の攻撃パターンをブロックする対応を取った。
ただし、これらの措置はあくまで暫定的なものであり、根本的な解決にはならない点は各社が共通して強調している。WAFのルールは既知の攻撃パターンには有効でも、通信の形式を少し変えられただけで防ぎきれない場合があり、実際に一部のセキュリティ企業は公開直後のWAFルールを回避できる通信パターンが存在することを確認している。最終的な対策はWordPress本体をアップデートすること以外にない、というのが各社共通の見解である。
サイトが乗っ取られると訪問者に何が起きるのか
wp2shellの影響は、サイト運営者だけの問題にとどまらない。サイトが乗っ取られた場合、攻撃者はサイトの表示内容を書き換えたり、悪意のあるスクリプトを埋め込んだりできるようになるため、そのサイトを訪れた一般の閲覧者が被害を受ける可能性がある。
想定される被害としては、大手サービスや金融機関を装った偽のログインフォームによる認証情報の窃取、ブラウザを狙ったマルウェアの配布や不正なファイルのダウンロード誘導、偽のサポート画面や偽の当選通知などを使った詐欺、閲覧者のブラウザ情報を収集する追跡スクリプトの埋め込みなどが挙げられている。さらに、乗っ取られたサイトが検索エンジンやセキュリティベンダーから危険なサイトとして認識されると、修復後もしばらく警告表示や評価低下が続くおそれがある。
サイト運営者が今すぐ確認すべきこと
最優先すべきは、WordPress本体のバージョンを最新の修正版(6.8.6以上、6.9.5以上、または7.0.2以上)へ更新することだ。自動更新が有効になっている場合でも、管理画面上で実際に更新が反映されているかを目視で確認することが推奨されている。
すでに侵害された疑いがある場合は、身に覚えのない管理者アカウントの作成履歴や、見慣れないプラグインのインストール履歴がないか、アクセスログやログイン履歴を確認する必要がある。不審な点が見つかった場合は、パスワードの変更だけでなく、専門のインシデント対応窓口へ相談することも選択肢に入れるべきだろう。
一般の閲覧者ができる自衛策
サイト運営者側の対応と並行して、閲覧者側でもできる自衛策がある。普段利用しているサイトであっても、見慣れないログイン要求やダウンロードの促し、ブラウザの警告表示が出た場合は安易に操作せず、一度立ち止まって確認する姿勢が重要になる。
OSやブラウザ、セキュリティソフトを常に最新の状態に保つことも、乗っ取られたサイト経由での被害を防ぐ基本的な対策として引き続き有効だ。
まとめ
wp2shellは、WordPressコア自体に起因し、特別な条件を必要とせず外部から悪用できてしまう点で、近年のWordPress関連の脆弱性の中でも特に深刻な部類に入る。
すでに修正版が公開されているにもかかわらず、更新が完了していないサイトは今後も攻撃対象であり続ける。サイト運営者は速やかな更新と侵害有無の確認を、一般利用者は普段利用しているサイトであっても慎重な行動を心がけることが求められている。