wp2shell : WordPress CoreのRCEに対する公開されたエクスプロイト - 今すぐパッチを適用

WordPress Coreのwp2shell脆弱性により、認証なしでリモートコード実行が可能です。公開されているエクスプロイトが流通しています。アップデートされていないインストールは危険にさらされており、ウェブの43%がWordPressで稼働しています。

WordPress Coreにおける認証不要のRCE

wp2shell は、WordPress Coreの一連の重大な脆弱性であり、認証なしでリモートコード実行（RCE、Remote Code Execution）を可能にします。具体的には、攻撃者がサイトにアカウントを持たずに、任意のコードをサーバー上で実行できるというものです。

影響を受けるバージョンは WordPress 6.9 および 7.0 です。既に公開されているエクスプロイトが流通しており、対応の猶予は限られています。パッチが適用されていないインストールは、攻撃の標的となっています。

影響を受ける対象

WordPress 6.9 または 7.0 を使用しており、修正版にアップデートされていないすべてのインストール。WordPressは世界のウェブサイトの約43%を占めています。個人のブログであっても、他のターゲットへの攻撃の足がかりとなったり、ボットネットに組み込まれたりする可能性があります。

特にリスクが高いのは以下のケースです：

• 自動アップデートが無効になっているサイト
• ホスティングプロバイダー側でアップデートが遅れている共有ホスティング
• メンテナンスが放棄されたり、あまり管理されていないインストール

今すぐ行うべき対応

1. WordPressを6.9.5以上または7.0.2以上にアップデート - これらのバージョンでwp2shellの脆弱性が修正されています（ダッシュボード → アップデート）
2. アクセスログを確認し、関連するエンドポイントへの不審なリクエストがないかチェック（詳細はWordPress Securityのアドバイザリを参照）
3. WordPress Coreの自動アップデートを有効化 - wp-config.phpにdefine('WP_AUTO_UPDATE_CORE', true);を追加
4. 共有ホスティングを利用している場合：ホスティングプロバイダーに連絡し、サーバー側でアップデートが適用されていることを確認

wp2shellとは（そして何が違うのか）

wp2shellは、WordPress Coreにおける**RCE脆弱性**に過ぎません。悪意のあるプラグインでも、AIエージェントでも、サプライチェーン攻撃でもありません。WordPress自体のコードの脆弱性であり、リモートから認証なしで悪用されます。対策はシンプル：6.9.5または7.0.2にアップデートすることです。

今すぐ行うべきこと

WordPress Coreを6.9.5または7.0.2にアップデートする。アクセスログを確認する。複数のWordPressサイトを顧客のために管理している場合は、絶対的な優先度で対応すること。エクスプロイトは公開されており、大規模な自動化された攻撃が数時間以内に行われる可能性があります。