WordPress脆弱性「wp2shell」と生成AI：攻撃手法の高度化

前回、WordPressの脆弱（ぜいじゃく）性「wp2shell」を取り上げました。プラグインではなくCMS本体に残っていた脆弱性で、外部から認証を必要とせずに管理権限奪取やリモート実行を可能とするため、緊急度の高い対応が必要となるものでした。

皆さんの組織でも対応に追われていたのではないかと思います。WordPressを導入していないと思っている組織も、念のため部署レベルでの導入がないか、いま一度再確認をお願いします。これは、自社で管理しているドメインにおけるアタックサーフェイス管理になります。その文脈からも、本脆弱性の影響を受けないかを確認しましょう。

WordPressの脆弱性「wp2shell」 古いバージョンでも自動更新していても安心できない理由：半径300メートルのIT - ITmedia エンタープライズ

今回はこの脆弱性が明らかになったときに、どのような動きがあったのかをチェックしたいと思います。キーワードは「生成AI」です。

生成AIの力で「攻撃手法」を想定する

脆弱性wp2shellを振り返ります。これはWordPressにおける「Critical（緊急）」な脆弱性CVE-2026-63030、および「High（高）」な脆弱性CVE-2026-60137の組み合わせで発生します。2つを組み合わせたwp2shell全体としてはCVSS 9.8の「緊急」に達します。Searchlight CyberのAdam Kues氏により報告され、wp2shellと名付けられました。

WordPressは、スクリプト言語であるPHPによって作られています。もちろん、オープンソースとして、(ソースの中身)[https://github.com/wordpress]は誰もが見ることができるようになっています。

通常、脆弱性修正を含むアップデートが公開された場合、脆弱性の番号が付けられ、影響のあるバージョン、修正されたバージョンなどの情報が一般公開されます。しかし、その詳細な修正内容は公開されません。これは、修正内容を知ることが攻撃手法の確立につながり、攻撃コードが野に放たれてしまうからです。それなりのスキルのあるエンジニアであれば、修正されたパッチを読み解き、実際にどのように修正され、何が攻撃の糸口になっていたのかを把握できました。しかし、ハードルは高かったため、そう簡単ではない作業でした。

ですが、今回は可読性の高いPHPスクリプトでした。修正された部分から、実際の問題点が把握できるものの、2つの脆弱性をどう組み合わせればリモートで不正なコードを実行できるのか、SNS上でもさまざまな意見が飛び交っていました。

そこに、生成AIの力が加わります。今回の脆弱性の影響は大きいということに気が付いた人たちは、世界各所で生成AIの力を借りつつ、今回の問題はどんなものかを調査し始めました。攻撃に使えるチェーンの作り方をそこから導き出せたという投稿も増え、影響が非常に大きいことも伝わってきます。

コードそのものを公開するような人はいませんでしたが、生成AIの力を使い、スキルを持つ人がさらに高いスキルに至り、非常に複雑な攻撃を検証できるようになったといえるでしょう。

もはやゼロデイ以上に深刻な「パッチリリース後の振る舞い」