wp2shell用侵害スキャナ（読み取り専用）

スタンドアロンの読み取り専用WordPressプラグインです。データベースとプラグインディレクトリをスキャンして、wp2shellコアチェーン（CVE-2026-63030 + CVE-2026-60137）が悪用された痕跡を検出します。数週間前の出来事でも、攻撃者が痕跡を消した後でも検出できます。サイト上では何も変更しません。 パッチ適用済み・未適用を問わず、どのインストール環境でも安全に実行できます。

このプラグインは脆弱性を緩和するものではありません。未パッチのサイトを一時的に保護するには、専用のwp2shell Temporary Hotpatch（またはコアのアップデート）を使用してください。恒久的な修正としては、6.9.5 / 7.0.2 / 6.8.6 にアップデートしてください。

入手方法

• ダウンロード： 最新リリース（.zip）
• WordPressプラグインディレクトリ： （プラグインがWordPress.orgで承認され次第、リンクを公開します）

インストール

上記のzipをダウンロードし、プラグイン → 新規追加 → プラグインのアップロード → zipを選択 → インストール → 有効化の順に進めます。管理メニューでwp2shell Scannerを開き、スキャンを実行をクリックすると、スコア化された判定と重大度別の検出結果が表示されます。レポートをエクスポート（.zip）を使用すると、結果と調査担当者が必要とする生のデータベース行をダウンロードできます。このエクスプロイトはSQLインジェクションと管理者の作成を、Webサーバーがログに記録しないリクエストボディ内に隠すため、これらのDBアーティファクトが主要な証拠となります。アーカイブには、レポート（JSON + テキスト）、関連するoembed_cache / customize_changeset / 疑惑の投稿 / 疑惑のユーザー / 孤立したusermeta行、変更されたプラグインファイル（パスワードハッシュは含みません）、および手動で収集すべきサーバー側ログのためのLOG-COLLECTION-GUIDE.txtが含まれます。プラグインはいつでもスキャン画面のこのプラグインを削除ボタンで削除できます（または通常どおり無効化・削除）。

判定

重み付けされた読み取り専用のインジケータがスコアにマッピングされます：50以上＝複数のインジケータ、25〜49＝一部のインジケータ、25未満＝インジケータなし。 最も強いシグナルはoembed_cacheグループ（ループバック参照 / カウントが3件 / 日付ウィンドウ）で、その他に高い親IDとPoCタイトルの投稿、customize_changesetエントリ、wp2_ログインと@wp2shell.invalidメール、新規の非ファウンダー管理者、孤立したusermeta、wp_usersのIDギャップ、残存するwp2shell_*ウェブシェルファイルまたはディレクトリがあります。単一の命名規則には依存しません。

重要 — お読みください

このスキャナはベストエフォートであり、証明ではありません。 特定のエクスプロイトチェーンの既知の残存痕跡を探すため、その出力はどちらの方向にも誤る可能性があります：

• 一部のインジケータまたは複数のインジケータという判定は、侵害の確認ではありません。インジケータには無害な原因がある可能性があり（誤検知）、フラグが付いたすべての項目は人間による検証が必要です。
• インジケータなしという判定は保証ではありません。注意深い攻撃者は自身の痕跡を削除できますし、別の攻撃や将来の攻撃では痕跡が残らないこともあります（偽陰性）。

これはWordPressコアのアップデートや、資格のある専門家による適切なインシデント調査の代わりにはなりません。このツールの出力だけを根拠に、是正対応、開示、または「安全宣言」の判断を下さないでください。

法的免責事項

本ソフトウェアは、商品性、特定目的への適合性、非侵害性を含む、明示または黙示を問わず、いかなる保証もなく「現状のまま」 提供されます。法律で許容される最大限の範囲で、著作者、貢献者、頒布者は、 いかなる損害、データ損失、ダウンタイム、誤検知、偽陰性、検出漏れ、またはその出力に基づいて行われた・行われなかったあらゆる行為について — 直接的、間接的、偶発的、結果的なものを問わず — 一切の責任を負いません。 特定のサイトで実行する権限があること、および結果を独自に検証することはすべて利用者の責任です。 ご利用は完全に自己責任でお願いします。GNU GPL v3のもとでライセンスされています（LICENSEを参照）。