WP-SHELLSTORM、公開済み脆弱性を悪用し数万サイトにバックドアを設置

2026年7月、サイバー犯罪グループが使用していたサーバーが認証なしで公開され、攻撃ツールや操作履歴、140万件を超えるドメインの標的一覧が外部から閲覧できる状態だったと報じられました。「WP-SHELLSTORM」と呼ばれるこの活動では、WordPressやJoomlaの既知の脆弱性が自動的に悪用され、多数のWebサイトに遠隔操作用のバックドアが設置されたとされています。ただし、140万件は侵害件数ではなく、攻撃対象として収集されたドメイン数です。
The Hacker News：Exposed Hacker Server Reveals WP-SHELLSTORM Backdooring Thousands of WordPress Sites

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

WordPress用キャッシュプラグイン「Breeze Cache」のバージョン2.4.4以前。CVE-2026-3844の影響を受けますが、初期状態では無効になっている「Host Files Locally – Gravatars」機能が有効な場合に悪用可能とされています。CVSS v3.1は9.8です。
Joomla用エディター拡張機能「Joomla Content Editor（JCE）」のバージョン1.0.0から2.9.99.4。CVE-2026-48907により、認証されていない攻撃者がPHPコードをアップロードし、実行できる可能性があります。CVSS v4.0は10.0、CVSS v3.1は9.8です。
ThemeREX Addons、Simple File List、Custom CSS JS PHP、BerqWP、Ninja Forms、WavePlayer、WPBookit、WP File Managerなど、攻撃ツールの対象となったWordPressプラグインを使用するサイト。
インターネットからアクセス可能なApache Nacos。CVE-2021-29441は1.4.1未満に影響する認証回避の脆弱性で、攻撃活動では設定ファイルやクラウド認証情報などの窃取に使用されたと報告されています。
認証なしでExecutorエンドポイントが公開されているXXL-Jobや、本番環境でActuatorのヒープダンプ機能を公開しているSpring Bootアプリケーション。

推奨される対策

Breeze Cacheを少なくともバージョン2.4.5以降へ更新し、使用していない場合は「Host Files Locally – Gravatars」を無効にしてください。
JCEをバージョン2.9.99.6以降へ更新してください。脆弱性自体は2.9.99.5で修正され、2.9.99.6では追加のセキュリティ強化が行われています。
更新だけで対応を終了せず、不審なPHPファイル、見覚えのないJCEエディタープロファイル、Webサーバーのアクセスログを確認してください。
.bd.php、.wp-log.php、.brq-*.phpなど、攻撃グループが使用したとされるファイル名の有無を調査してください。
Linuxサーバーで[kworker/X:Y]を名乗りながら、実行ファイル、コマンドライン、ネットワーク接続を持つ不審なプロセスがないか確認してください。
Nacosを2.2.1以降へ更新し、nacos.core.auth.enabled=trueで認証を有効化してください。外部公開されていた可能性がある場合は、Nacos内に保存されていたクラウドキー、データベースパスワード、APIキーなどを失効・再発行してください。
XXL-JobのExecutorエンドポイントをインターネットから遮断し、Spring Bootの本番環境では/actuator/heapdumpを無効化してください。

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

WP-SHELLSTORM：WordPressやJoomlaなどのWebサイトを広範囲に探索し、既知の脆弱性を通じてWebシェルを設置していた攻撃活動の名称です。
Webシェル：Webサーバー上に設置され、攻撃者がブラウザーや通信コマンドを通じてファイル操作や命令実行を行うための不正なプログラムです。
アクセスブローカー：侵害したシステムへの接続権限を確保し、そのアクセス手段を別の犯罪者へ販売または提供する攻撃者です。
CVE：公開された脆弱性を一意に識別するために付与される国際的な識別番号です。
CVSS：脆弱性の深刻度を数値で評価するための共通指標です。通常は数値が高いほど影響が大きいと評価されます。
KEV：米国CISAが管理する、実際の攻撃で悪用されたことが確認されている脆弱性の一覧です。
FOFA：インターネット上で公開されているサーバーやネットワーク機器などを検索するためのサービスです。
難読化：プログラムの内容を解析しにくくするため、コードや文字列を複雑な形式に変換する手法です。

公開状態の攻撃サーバーから判明した大規模な侵害活動

調査のきっかけは、防御側のシステムではなく、攻撃者自身が使用していたサーバーの設定ミスでした。米国に設置されたレンタルサーバーでは、ファイル転送のために起動した簡易的なPythonのWebサーバーが認証なしのまま22日間稼働し、約800MB、434ファイルに及ぶデータが公開されていたと報告されています。内部にはWebシェル、脆弱性を悪用するスクリプト、スキャン結果、操作コマンドの履歴、遠隔操作に関する設定などが保存されていました。

攻撃者は、インターネット上のシステムを検索できるFOFAなどから標的候補を収集し、公開済みの脆弱性を自動的に試す仕組みを構築していました。公開された資料では140万件を超えるドメインが確認されていますが、これは侵害に成功したWebサイト数ではありません。Ctrl-Alt-Intelは重複を除いた侵害証拠のあるサイトを25,195件、SOCRadarは稼働中のWebシェルを5,700件以上としています。調査方法や集計基準が異なるため数字には差がありますが、大量の標的一覧に対して自動攻撃を行い、成功したサイトへのアクセスを継続的に確保していた構図が示されています。

古いプラグインからWebシェル設置へつながる攻撃

WP-SHELLSTORMでは27件の既知の脆弱性が攻撃ツールに組み込まれていました。特に多くの侵害につながったとされるのが、WordPress用のBreeze Cacheに存在するCVE-2026-3844です。この脆弱性は、ファイル形式の確認が不十分なことにより、認証されていない攻撃者が任意のファイルをアップロードできる問題です。バージョン2.4.4以前が影響を受けますが、悪用には初期状態で無効となっている「Host Files Locally – Gravatars」が有効である必要があります。攻撃者側の記録では、4万5,000件を超える対象に攻撃が試みられ、1万7,000件以上にバックドアが設置されたとされています。

JoomlaのJCEに存在するCVE-2026-48907も重要です。この脆弱性では、認証されていない利用者が新しいエディタープロファイルを作成し、最終的にPHPコードをアップロードして実行できる可能性があります。攻撃活動内での成功件数は限定的だったとされていますが、CISAのKEVカタログに追加されており、実際の悪用が確認されています。また、設置された主要なWebシェルは多重に難読化され、ファイル管理、コマンド実行、リバースシェル、ネットワークスキャン、セキュリティ製品の確認などを行える機能を備えていました。別のバックドアであるVShellは、Linuxの正規プロセスに見せかけるため、プロセス名を[kworker/0:2]に変更していたと報告されています。

国内組織が確認すべき更新状況と侵害の痕跡

国内でWordPressやJoomlaを運用している組織は、プラグインを更新したかどうかだけでなく、更新前に侵害されていなかったかを確認する必要があります。JCEの開発元も、アップデートは新たな侵入経路を閉じるものであり、すでに設置された不正ファイルを自動的に削除するものではないと説明しています。JCEでは見覚えのないエディタープロファイルを確認し、Webサーバーのログからindex.php?option=com_jce&task=profiles.importへの認証されていないアクセスがなかったかを調査することが重要です。Breeze Cacheについても、バージョンと設定を確認したうえで、WordPressの設置ディレクトリーに不審なPHPファイルが追加されていないか確認する必要があります。

さらに、Linuxサーバーでは[kworker/X:Y]という名称だけで正規プロセスと判断しないことが重要です。本来のカーネルワーカースレッドは通常の実行ファイルやコマンドライン、外部とのネットワークソケットを持たないため、これらが確認された場合は偽装プロセスの可能性があります。Nacosを運用している場合は、認証機能を有効にしたうえで2.2.1以降へ更新し、過去にインターネットへ公開していた場合には、設定ファイル内に保存されていた認証情報をすべて交換することが推奨されています。今回の事例は、ゼロデイ脆弱性のような未知の技術を使わなくても、既知の脆弱性、自動スキャン、更新されていないソフトウェアを組み合わせることで、大規模な侵害が成立する可能性を示しています。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）