先日お伝えしたWordPressコアの重大脆弱性「wp2shell」、状況が大きく動きました。緊急パッチ公開時点では、研究者が意図的に技術詳細を伏せていましたが、その後わずか1日で、攻撃の完全な仕組みが公開され、実際に動く概念実証コード（PoC）まで出回っています。しかも、このPoCで管理者パスワードのハッシュが読み取れることまで確認されました。「まだ実害は出ていない」という状況自体は変わっていませんが、対応を先延ばしにする余地は、もうほとんど残っていません。
この数日で何が変わったのか
おさらいすると、wp2shellは2つの脆弱性を組み合わせた攻撃チェーンです。REST APIのバッチルート処理に関する不具合（CVE-2026-63030）が、本来ログインユーザーだけに許されるはずのSQLインジェクション（CVE-2026-60137）への制限を突破し、匿名のリクエストだけでデータベースへの侵入から、最終的なコード実行までを可能にします。発見したSearchlight CyberのAdam Kues氏は、当初「サイト運営者にパッチを当てる時間を与えるため」として、攻撃の技術的な詳細を意図的に公開していませんでした。
しかしこの数日で状況は変わりました。攻撃の完全なメカニズムを解説した技術文書が複数のセキュリティ企業から公開され、実際に動作するPoCコードも出回るようになっています。このPoCは、SQLインジェクションを実際に成立させ、管理者アカウントのパスワードハッシュをデータベースから読み取れることまで確認済みです。加えて、コード実行に至る過程で「永続オブジェクトキャッシュ」という特定の条件が関わることも、新たに明らかになりました。
「まだ実害なし」と「もう安全」はイコールではない
「実際の悪用がまだ確認されていない」と聞くと、少し安心してしまうかもしれません。しかし、これはむしろ危険な段階だと捉えるべきです。攻撃の仕組みが技術文書として詳しく説明され、動くPoCコードまで公開された今、必要な知識と道具は、悪意のある人物にとっても既に手の届くところにあります。研究者が意図的に情報を伏せていた”猶予期間”は、事実上終わったと考えたほうが安全です。
セキュリティ企業のCyberKendraは、このアップデートを「たった一つの判断が、この脆弱性の深刻さを何よりも物語っている」と表現しています。WordPress側が異例の強制アップデートにまで踏み切ったこと自体が、事の重大さの証拠だという指摘です。
WordPress側は、この強制アップデートの仕組みが、自動更新を無効にしているサイトにまで確実に届くかどうかを明言していません。管理画面のダッシュボードを開いて、実際に7.0.2・6.9.5・6.8.6以降になっているかを、自分の目で確認してください。「配信されたはずだから大丈夫」という思い込みが、一番の落とし穴です。
WordPressサイトの緊急点検
強制アップデートが実際に適用されているか、複数サイトの一括確認、念のためのパスワード変更まで、今回のような緊急事態への実務対応をサポートします。「うちのサイト、本当に最新版になってるか不安」という方は、お気軽にご相談ください。島根県から全国対応です。
まとめ
WordPressサイトの緊急セキュリティ点検のご相談はお気軽にどうぞ。
WordPressセキュリティのご相談はこちら
無料相談する →