WordPressの「wp2shell」、実サイトへの悪用が拡大——更新済みでも侵害の確認を

昨日お伝えしたWordPressの脆弱性ですが、修正版が出て一件落着、とはなりませんでした。
「wp2shell」と通称されるCVE-2026-60137とCVE-2026-63030の連鎖について、修正が公開された直後から悪用が始まり、実証コードが出回ってからは狙い撃ちではなくインターネット全域のスキャンへと広がっています。

観測の数字が出ています。
WatchTowrのハニーポットには数万件規模の悪用試行が記録され、KEVIntelの計測では7か国13のIPアドレスがCVE-2026-63030を狙っていました。
クラウドセキュリティのWizによれば、WordPressを使う組織の約6割が脆弱なインスタンスを抱えていて、うち4分の1はそれをインターネットに露出させていたとのこと。
修正公開からの24時間でこの割合は6割から5割へ下がりましたが、裏を返せば半数はまだ残っていたということです。

実際に何をされるのかも見えてきました。
Wizが観測した侵入後の動きは、悪意あるプラグインをアップロードしてのWebシェル設置、ユーザー名の総当たり的な列挙、設定ファイルの読み出し、そして管理画面への到達。
仕掛けられたものは一行だけの単純なバックドアから、正規のセキュリティツール「CMSmap」を装った150KB級の多機能Webシェルまで幅がありました。
後者はデータベース操作やポートスキャン、権限昇格の機能まで備えています。

ここで大事なのは、「更新したから大丈夫」で話を閉じないことです。
修正が出る前後に入られていれば、パッチを当てても仕掛けは残ります。
覚えのない管理者アカウントが増えていないか、入れた記憶のないプラグインがないか、更新日時の不自然なファイルがないか。
7月17日以降について、一度は目視で確かめておきたいところです。
すぐに更新できない事情があるサイトには、WAFで /wp-json/batch/v1 を塞ぐ暫定策が案内されています。