公開PoCを悪用したWordPressへの大量攻撃　偽プラグインやWebシェルの設置を確認

The Hacker Newsは2026年7月21日、WordPress本体の脆弱性「CVE-2026-63030」と「CVE-2026-60137」を組み合わせた「wp2shell」に対する攻撃が拡大していると報じました。公開された実証コードを利用した大量スキャンに加え、管理者アカウントの作成、偽プラグインやWebシェルの設置など、サイトを継続的に制御する活動が確認されています。

The Hacker News：WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning

この記事のポイント

影響のあるシステム

• WordPress 6.8.0から6.8.5まで
• WordPress 6.9.0から6.9.4まで
• WordPress 7.0.0から7.0.1まで
• インターネットへ公開されているWordPressサイト
• WordPressのREST API Batchエンドポイントへ外部からアクセスできる環境
• 永続オブジェクトキャッシュを使用していないWordPress 6.9以降の環境
• WordPressの自動更新が無効または正常に完了していない環境
• WAFによる仮想パッチが適用されていない環境
• 脆弱性の公開後も未更新のまま稼働していたWordPressサイト
• クラウド、レンタルサーバー、VPS、オンプレミスで自己管理されているWordPress

WordPress 6.8系はCVE-2026-60137の影響を受けますが、CVE-2026-63030と組み合わせた認証前リモートコード実行の対象はWordPress 6.9系および7.0系です。WordPress 6.8より前のバージョンは、公式発表では今回の2件の脆弱性の影響を受けないとされています。ただし、旧バージョンには別の未修正脆弱性が存在する可能性があるため、古いバージョンの継続利用が安全であることを意味するものではありません。

推奨される対策

• WordPress 7.0系を7.0.2以降へ更新する
• WordPress 6.9系を6.9.5以降へ更新する
• WordPress 6.8系を6.8.6以降へ更新する
• 管理画面やWP-CLIで、実際に更新が完了していることを確認する
• 自動更新が有効でも、対象サイトのバージョンを個別に確認する
• 更新できない場合は、WAFで関連するREST APIへの攻撃通信を遮断する
• 一時対策として、未認証ユーザーによる/wp-json/batch/v1へのアクセスを制限する
• 更新後も、新しく作成された管理者アカウントがないか確認する
• 身に覚えのないプラグインやテーマが追加されていないか確認する
• wp-content/plugins、wp-content/uploadsなどの不審なPHPファイルを調査する
• Webサーバー、WAF、WordPress、認証ログを確認する
• wp-config.phpへの不審なアクセスや読み取りの痕跡を調査する
• 侵害が疑われる場合は、WordPressの認証ソルト、管理者パスワード、データベース認証情報を更新する
• バックドアやWebシェルを除去した後、信頼できるファイルからWordPress本体とプラグインを再構築する

今回の脆弱性では、修正版を適用する前から攻撃が始まっていた可能性があります。パッチは新たな悪用を防ぎますが、すでに作成された管理者アカウント、偽プラグイン、Webシェルなどを削除するものではありません。公開後に脆弱な状態で稼働していたサイトでは、更新と侵害調査の両方が必要です。

WordPress本体の2件の脆弱性を連鎖

wp2shellは、単独の脆弱性ではなく、WordPress本体に存在する2件の問題を連鎖させる攻撃です。CVE-2026-63030は、REST APIのBatchエンドポイントが内部ルートを処理する際に、認証や権限確認の対象を誤って解釈する可能性がある問題です。攻撃者はこの挙動を利用し、本来は認証後にのみ呼び出される処理へ、ログインしていない状態から到達できる可能性があります。

もう一つのCVE-2026-60137は、WordPressが投稿者などの情報を検索する際に使用するWP_Queryで、author__not_inパラメータの処理が不十分だった問題です。プラグインやテーマなどから信頼できない入力が渡された場合、データベースへ送る問い合わせを変更される可能性があります。

WordPress 6.9以降では、CVE-2026-63030を入口としてCVE-2026-60137を呼び出すことで、認証なしのSQLインジェクションを成立させ、最終的にサーバー上でコードを実行できる攻撃経路が確認されています。Cloudflareによると、リモートコード実行は永続オブジェクトキャッシュを使用していない環境で成立します。標準的なWordPress構成では永続オブジェクトキャッシュが導入されていないことも多く、プラグインを追加していない初期構成でも影響を受ける可能性があります。

WordPress公式は2026年7月17日に、WordPress 7.0.2、6.9.5、6.8.6を公開しました。7.0.2と6.9.5には両方の修正が含まれ、6.8.6にはSQLインジェクションの修正が含まれます。WordPress 6.8系には、RCEの入口となるCVE-2026-63030は存在しないとされています。

出典：WordPress.org「WordPress 7.0.2 Release」、Cloudflare「Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities」

公開PoCを利用した大量スキャンと侵入が拡大

WordPressが修正版を公開した後、脆弱性の再現に利用できるPoCが複数公開され、攻撃活動が急速に拡大したと報告されています。初期のPoCはデータベースからハッシュ化された認証情報を取得するSQLインジェクションが中心でしたが、その後、任意の対象でコード実行まで行える実装が公開されました。

KEVIntelは、スイス、ドイツ、英国、インドネシア、リトアニア、オランダ、シンガポールなどに所在する複数のIPアドレスから、CVE-2026-63030の悪用と一致する通信を観測したとしています。検知対象はWordPress専用の監視環境だけでなく、インターネット上の広範なサーバーを対象とするスキャンへ拡大したと報告されています。

watchTowrのハニーポットでは、公開PoCの登場後に数万件規模の攻撃試行が記録されたとされています。攻撃者は特定の企業を選んで調査するだけでなく、脆弱なWordPressを自動的に探し、反応したサイトへ次の攻撃を行う機会型の活動を進めている可能性があります。

Wizの調査では、脆弱性公開時点でWordPressを利用する組織の60％に少なくとも1台の脆弱なインスタンスが存在し、25％は脆弱なサーバーをインターネットへ公開していたとされています。この割合は更新の進行に伴って急速に低下したものの、公開後に脆弱な状態で稼働していたサイトでは、すでに侵入を受けていないかを確認する必要があります。

出典：Wiz「Exploitation in the Wild of wp2shell」、KEVIntel「CVE-2026-63030」

偽プラグインやWebシェルによる永続化を確認

攻撃に成功した後、攻撃者はWordPressの管理機能を利用し、不正なプラグインやWebシェルを設置していると報告されています。Wizは、攻撃者がWordPressのプラグインアップロード機能へアクセスし、PHPコードを含む偽のプラグインを導入した事例を確認しています。

確認されたWebシェルの一つは、特定のPOSTパラメータを受け取ると任意のPHPコードを実行し、それ以外のアクセスにはHTTP 404を返す簡易的な構造でした。通常のファイル確認や外部からのアクセスでは存在を把握しにくくする意図があると考えられます。

別の検体は、正規のセキュリティツールを装った「CMSmap」というWordPressプラグインとして配置されていました。この検体は約150KBあり、ファイル管理、データベース操作、ポートスキャン、複数ファイルへのコード注入、MySQL UDFを利用した権限昇格などを備える攻撃基盤として動作すると報告されています。

このほか、管理者のユーザー名やメールアドレスの列挙、wp-config.phpを対象としたローカルファイルインクルージョン、管理画面へのログイン、新しい管理者アカウントの作成なども確認されています。The Hacker Newsによると、攻撃後に作成されたバックドア用管理者アカウントは100件を超え、少なくとも一部の攻撃ではOverlord RATの導入も試みられました。

出典：Wiz「Exploitation in the Wild of wp2shell」

強制自動更新が有効でもバージョン確認が必要

WordPress.orgは今回の深刻度を踏まえ、影響を受けるバージョンに対して強制的な自動更新を有効化しました。自動バックグラウンド更新を利用できる多くのサイトでは、WordPress 6.9.5または7.0.2への更新が自動的に開始されています。

しかし、自動更新が有効になっていることと、すべてのサイトで更新が完了していることは同じではありません。ファイル権限、ディスク容量、ホスティング事業者の設定、独自の更新管理、Gitによるデプロイ、管理プラグインとの競合などにより、更新が開始されない、または途中で失敗する可能性があります。

WordPressの管理画面から「更新」を開き、現在のバージョンが6.8.6、6.9.5、7.0.2以降であることを確認してください。複数のWordPressを運用している場合は、管理対象のドメインだけでなく、検証環境、旧キャンペーンサイト、サブドメイン、停止予定のサイトなども含めて棚卸しする必要があります。

Cloudflareは、両脆弱性に対応するWAFルールを2026年7月17日に配信しています。WAFは更新までの露出を抑える有効な暫定対策ですが、WordPress本体の脆弱性を修正するものではありません。WAFを利用している場合も、最終的にはWordPressを修正版へ更新する必要があります。

出典：WordPress.org「WordPress 7.0.2 Release」、Cloudflare「Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities」、IPA「WordPressの脆弱性対策について」

パッチ適用後に実施すべき侵害確認

2026年7月17日の修正版公開後も脆弱な状態でインターネットへ公開されていたサイトは、パッチを適用するだけで安全と判断すべきではありません。公開PoCを利用した大量スキャンと侵入が確認されているため、攻撃者がすでに永続的なアクセス経路を設置している可能性があります。

最初に、WordPressのユーザー一覧を確認し、作成日時、メールアドレス、表示名、権限に不審な点がある管理者アカウントを特定します。ただし、アカウントを削除する前に、関連するログやデータベース情報を証拠として保全することが推奨されます。

次に、プラグインとテーマの一覧、wp-content/plugins、wp-content/mu-plugins、wp-content/uploads、Webルート配下を確認します。アップロードディレクトリ内のPHPファイル、最近作成または更新されたファイル、難読化されたeval、base64_decode、gzuncompressなどを含むコードは重点的な確認対象です。

侵害が確認された場合は、WordPressの管理者パスワードだけでなく、データベース認証情報、ホスティング管理画面、SSH・SFTP認証情報、APIキー、WordPressの認証ソルトを更新します。認証情報の変更は、Webシェルやバックドアを除去した後に、安全な端末から実施する必要があります。

ファイルの改ざん範囲を完全に把握できない場合は、稼働中のファイルを部分的に修正するのではなく、信頼できるバックアップや公式配布物からWordPress本体、テーマ、プラグインを再構築する方法が安全です。バックアップ自体が侵害後に取得されたものでないかも確認しなければなりません。

出典：Wiz「Exploitation in the Wild of wp2shell」、IPA「WordPressの脆弱性対策について」

日本企業が優先して確認すべき運用環境

日本企業では、公式コーポレートサイトだけでなく、採用サイト、期間限定のキャンペーンサイト、過去の製品サイト、海外拠点サイト、代理店が管理するサイトなどにWordPressが使用されている場合があります。日常的に更新している主要サイトが修正済みでも、管理対象から外れた旧サイトが脆弱なまま残っている可能性があります。

まず、DNS、クラウドアカウント、レンタルサーバー契約、WAF、CDN、外部公開資産の一覧などを用いて、組織が保有するWordPress環境を洗い出してください。制作会社や運用委託先が管理するサイトについても、更新状況と侵害確認の実施有無を文書で確認する必要があります。

特に優先すべきなのは、インターネットへ直接公開され、2026年7月17日以降にWordPress 6.9.0から6.9.4、または7.0.0から7.0.1で稼働していたサイトです。管理画面をIP制限している場合でも、今回の攻撃はREST APIを経由して認証前に成立するため、管理画面の制限だけでは十分な対策になりません。

更新と調査が完了した後は、WordPress本体、テーマ、プラグインの自動更新方針、WAFの適用範囲、ファイル改ざん監視、管理者アカウントの多要素認証、定期バックアップと復旧試験などを見直すことが重要です。今後も公開から短時間でPoCと大量スキャンが登場する可能性を前提とし、緊急更新を迅速に適用できる運用体制を整える必要があります。

出典：IPA「WordPressの脆弱性対策について」、WordPress.org「WordPress 7.0.2 Release」

参考文献・記事一覧

• The Hacker News：WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning
• WordPress.org：WordPress 7.0.2 Release
• GitHub Security Advisory：CVE-2026-63030
• GitHub Security Advisory：CVE-2026-60137
• NIST National Vulnerability Database：CVE-2026-63030
• NIST National Vulnerability Database：CVE-2026-60137
• CISA Known Exploited Vulnerabilities Catalog：CVE-2026-63030
• CISA Known Exploited Vulnerabilities Catalog：CVE-2026-60137
• IPA：WordPressの脆弱性対策について
• Cloudflare：Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities
• Wiz：Exploitation in the Wild of wp2shell
• KEVIntel：CVE-2026-63030 Sensor Telemetry

投稿者プロフィール

CyberCrew（サイバークルー）

CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）

最新の投稿

• 2026.08.02公開PoCを悪用したWordPressへの大量攻撃　偽プラグインやWebシェルの設置を確認
• 2026.08.01Adobe Acrobat拡張機能に情報流出の脆弱性　悪質サイトからWhatsApp Webを読み取るおそれ
• 2026.07.31Ubuntuのsnap-confineにroot権限奪取の脆弱性　標準デスクトップ環境に影響
• 2026.07.30GitHubがバグ報奨金制度を再編　一般枠を半額以下に引き下げ、高額報酬はVIPへ