先日から何度もお伝えしてきたWordPressの重大脆弱性「wp2shell」、実はその発見の裏側に、驚くべき後日談がありました。この脆弱性、人間の研究者がゼロから見つけたものではありません。AIモデル「GPT-5.6 Sol Ultra」に、わずか25ドル分の利用料金で発見・攻撃コードの完成までやらせた結果だったのです。しかも、かかった時間はたったの10時間。「AIなしでは、どんな熟練研究者でも同じ時間では絶対に無理だった」と、発見者自身が断言しています。
何が起きたのか
発見者は、セキュリティ企業Searchlight CyberのAdam Kues氏です。氏は、OpenAIの新モデルGPT-5.6 Sol Ultraが数学の未解決問題「Cycle Double Cover予想」を解いたというニュースを見て、その際にOpenAIが公開していた特別なプロンプト(指示文)に着目しました。「難しい数学の問題を解けるプロンプトなら、セキュリティの脆弱性探しにも応用できるのではないか」——そう考えたKues氏は、このプロンプトを転用し、GPT-5.6 Sol Ultraに4つのAIエージェントを使わせて、WordPressのソースコードを最低6時間かけて監査させました。
結果、AIは「author__not_in」という、WP_Queryの中にあるパラメータの、サニタイズ(無害化処理)の不備を発見。さらにそこから、REST APIのバッチエンドポイントにあった、別の”ルート混同”の不具合と組み合わせる、複雑な攻撃チェーンを自力で組み立てました。この過程では、oEmbed経由のキャッシュポイズニング、customize_changesetを悪用した一時的な管理者権限の奪取、循環検出の仕組みを利用した`parse_request`フックの再トリガーといった、Searchlight Cyber自身が「途方もなく複雑」と表現するほどの、創造的な手法が組み合わされていました。最終的に、新しい管理者アカウントの作成と、バックドアプラグインのアップロードにまで到達しています。
なぜこれが重要なのか——「WordPressは鍛え抜かれた標的」だったはず
Kues氏の報告書には、こう書かれています。「WordPressは、これまでで最も鍛え抜かれた標的の1つで、この10年間、意味のある未認証の脆弱性は見つかっていなかった」。世界のウェブサイトの相当数を支える基盤ソフトウェアとして、無数のセキュリティ研究者・企業による監査を10年以上受け続けてきたWordPressのコアに、AIがわずか半日足らずで、しかも数千円程度のコストで、致命的な穴を見つけてしまった——この事実そのものが、セキュリティ業界に衝撃を与えています。
重要なのは、Kues氏がAIモデルの安全対策を回避する”ジェイルブレイク”を一切行っていない点です。「未認証からRCEに至る脆弱性を見つけてほしい」という、通常の依頼をしただけで、AIはこの結果を出しました。つまり、特別な裏技を使わなくても、正規の使い方の範囲内で、これだけの攻撃能力を引き出せてしまう、ということです。
これまで、未認証RCEのような重大な脆弱性を見つけるには、熟練した研究者による、数週間から数ヶ月単位の地道な調査が必要でした。それが今回、25ドル・10時間にまで圧縮されたという事実は、防御側・攻撃側の双方にとって、根本的な前提を変えます。善意の研究者が使えば、脆弱性の早期発見・早期修正につながる強力な武器になります。しかし同じ能力は、悪意ある攻撃者にとっても、同じように手が届く場所にあります。「発見にかかるコストが劇的に下がった」ということは、今後、この種の重大な脆弱性が、より高い頻度で、より多くの人の手によって見つかっていく時代に入った、ということを意味します。
WordPressサイトを運営・開発する側への含意
今回の件は、これまでこのシリーズで繰り返し伝えてきた「パッチを迅速に適用する」「使っていないプラグインを削除する」といった対策の重要性を、あらためて裏付けるものです。ただ、それ以上に意識しておきたいのは、今後同じような手法で、他の重大な脆弱性が次々と発見される可能性がある、という前提です。
WordPressサイトの継続的な保守
脆弱性の発見コストが劇的に下がった今、パッチ適用のスピードそのものが、サイトの安全性を左右します。自動更新の設定確認、プラグイン・テーマの定期点検、緊急時の迅速な対応体制まで、継続的にサポートします。「うちのサイト、こうした新しいタイプの脅威にも耐えられるか不安」という方は、お気軽にご相談ください。島根県から全国対応です。
まとめ
WordPressサイトの継続的な保守・脆弱性対応のご相談はお気軽にどうぞ。
WordPressセキュリティのご相談はこちら
無料相談する →