重要ポイント
研究者らにより、WordPress Coreに影響を及ぼす重大な脆弱性チェーンの詳細が公開されました。この問題はCVE-2026-63030およびCVE-2026-60137として追跡されており、世界中で公開されているWordPress展開環境の膨大な数を考慮すると、Webインフラに対する重大なリスクとなります。
この攻撃チェーンは、WordPress REST Batch API経由で到達可能な認証不要のSQLインジェクションから始まり、デフォルトのインストール環境では完全なリモートコード実行（RCE）へとエスカレーションされる可能性があります。
修正パッチはすでに公開されていますが、多数の本番環境は依然として脆弱性が露呈したまま、パッチが適用されていない状況です。
当社のAdaptive Security Engineによる既存のSQLインジェクション保護機能は、この攻撃の侵入口に対してすでに有効な保護を提供しています。さらに、この攻撃チェーンに特有のバリアントをキャプチャするため、新たなRapid Ruleを導入しました。
脆弱性の詳細
WordPress REST APIのバッチエンドポイントには、入力検証の脆弱性が存在します。バッチAPIは、クライアントが複数のAPI操作を1つのリクエストにまとめて実行できるよう設計されています。エンドポイントにおいて、検証済みリクエストと実行ハンドラーの関連付けに不備があるため、攻撃者はあるルートに対して検証されたリクエストを別のルートで実行させることができます。
この不整合により、攻撃者はWordPress REST APIが依存するパラメーターサニタイズ処理を回避することが可能となります。さらに、データベース層に到達する前に配列以外の入力値を適切にサニタイズしない投稿一覧取得用パラメーターと組み合わさることで、認証不要のSQLインジェクションが成立します。このバッチエンドポイントは認証情報を一切必要とせず、ユーザー操作も不要なため、攻撃者が容易に悪用できる状態にあります。
WordPress攻撃の仕組み
この攻撃では、バッチエンドポイントにおけるリクエストとハンドラーの関連付けの不備を悪用し、サニタイズされていないパラメーターをデータベースクエリーに挿入します。
SQLインジェクション：攻撃者は、細工されたリクエストボディをバッチエンドポイントに送信することで、自らが制御する値をエスケープ処理を経ることなくクエリーに渡し、認証前の段階でデータベース内の任意の情報を抽出できます。
権限昇格によるリモートコード実行（RCE）：この攻撃では、ハッシュ化された認証情報の解析に依存するのではなく、SQLインジェクションをWordPressのオブジェクトキャッシュおよび後処理のふるまいと連鎖させることで、保存された状態情報を操作し、管理者権限のコンテキストを取得したうえで、最終的に特権アカウントを作成します。その後、攻撃者は悪性のプラグインをインストールし、任意のコードを実行できるようになります。
この攻撃チェーンの初期侵入口は認証不要のSQLインジェクションであるため、インジェクションの試行を阻止することで、権限昇格に至る前に攻撃チェーン全体を阻止できます。
この脆弱性チェーンは、デフォルト設定でREST Batch APIを公開しているWordPress Coreインストール環境に影響します。管理者は、最新のWordPress Coreセキュリティリリースが利用可能になり次第、速やかに適用するとともに、自動バックグラウンド更新が有効になっていることを確認してください。
Akamai App & API Protectorによる緩和
Akamai App & API Protectorをご利用のお客様には、Adaptive Security EngineによるSQLインジェクション対策の保護をすでに提供しております。これは、本攻撃チェーンの基盤となるSQLインジェクションを検知し、遮断する機能です。そのため、SQLインジェクション対策を有効にされているお客様は、現時点でこの脅威の中核部分に対するベースライン保護を備えています。
この攻撃チェーンに特有のバリアントに対して、重点的かつ多層防御による保護を提供するため、以下のRapid Ruleを新たに導入しました：
3000986 v1 — wp2shell攻撃によるWordPressの認証不要RCEの検知（CVE-2026-63030、CVE-2026-60137）
まとめ
このWordPressの脅威からお客様を保護するため、Akamai App & API Protectorに新たなルールが導入されました。このルールは、すでに提供されているSQLインジェクション保護機能を補完するものです。
Webアプリケーションファイアウォール（WAF）のルールは既知の攻撃パターンを特定し、ブロックできますが、最も効果的な防御はベンダーが提供するパッチを速やかに適用することです。この問題の深刻度と世界中に存在するWordPress環境の多さを踏まえると、管理者は直ちにアップデートを適用する必要があります。
Akamai Security Intelligence Groupは、お客様とセキュリティコミュニティ全体のために、このような脅威を監視し、報告し、緩和策を提供し続けます。Akamai Security Intelligence Groupの最新ニュースは、Akamaiの調査ホームページをご覧になるか、Akamaiのソーシャルメディアをフォローしてご確認いただくことができます。
タグ
