CVE-2026-64638 — XSS2Shell:WordPress ログインページの事前認証 XSS → サーバー RCE

HackSpeak 配布ミラー。このリポジトリは WordSec が公開した XSS2Shell 教育用 PoC(CVE-2026-64638)の配布ミラーであり、コードはアップストリームと同一です。アップストリームは MIT License、Copyright (c) 2026 WordSec。

⚠️ セキュリティ研究および認可されたテストのみを目的としています。自分が所有しているか、書面による承認を得て評価を行う WordPress サイトに対してのみ実行してください。PoC は一時的な公開物を生成してクリーンアップします。第三者管理者や本番システムに対しては実行しないでください。

脆弱性の概要

XSS2Shell(CVE-2026-64638) は、WordPress のログインページ(wp-login.php)における事前認証の反射型 XSSであり、完全なチェーンを経由してサーバーサイド PHP コード実行(RCE) に昇格させることができます。

• 根本原因:PHP strip_tags() と WordPress KSES(wp_kses_post())の解析の相違——< とタグ名の間にスペースを挿入すると(例: < area)、前者は通常のテキストとして保持され、後者は正当な HTML 要素(<area>/<div>/<button> はすべて許可リストに含まれる)として解析されます;
• XSS:認証不要で、偽造したユーザー名を送信するだけで、ログイン失敗エラーページでトリガーされます;
• RCE チェーン:DOM Clobbering による ajaxurl の乗っ取り → ログインページに同梱される user-profile.js が jQuery POST を自動トリガー → REST API JSONP(_jsonp)→ Same Origin Method Execution(SOME、Paulos Yibelo 2022)→ クロスウィンドウで管理者の Application Password 承認ボタンをクリック → API 認証情報を窃取 → <script> を含むページを公開 → 悪意のあるプラグイン ZIP をアップロード → PHP を直接実行(アクティベーション不要);
• 影響:ほぼすべての WordPress バージョン(4.9.0–7.0.2)に影響。修正は 7.0.3(2026-08-06、緊急)で、4.7 以降のすべてのメンテナンスブランチにバックポート済み。

使用方法

python3 xss2shell_poc.py -t http://wordpress.test --lhost 192.168.1.100 --lport 8080 -c "whoami"

依存関係:Python 3.7+、サードパーティパッケージ不要。ターゲットサイトに管理者としてログインし、攻撃者の URL を開く必要があります(1 回のインタラクション)。

免責事項

• セキュリティ研究、脆弱性検証、および防御的テストのみを目的としています。破棄可能な環境で実行し、未承認のシステムには使用しないでください。
• PoC は教育目的のコードであり、公開された技術分析に基づいています。使用前にアップストリームの説明と対象の認可範囲をお読みください。

参考リンク

• アップストリームソースリポジトリ(本 PoC の出典):https://github.com/wordsec/XSS2Shell
• pwn.ai 公式開示:XSS2Shell — https://pwn.ai/blog/xss2shell
• WordPress 公式セキュリティアドバイザリ:GHSA-52p2-r8wf-jcrf — https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-52p2-r8wf-jcrf
• WordPress 7.0.3 リリース告知:https://wordpress.org/news/2026/08/wordpress-7-0-3-release/
• The Hacker News 報道:https://thehackernews.com/2026/08/new-wordpress-pre-auth-xss-could-lead.html
• WordSec 技術分析 + PoC 説明:https://wordsec.net/blog/xss2shell-wordpress-pre-auth-xss-to-rce-cve-2026-64638