wp2shell-check

CVE-2026-63030 / CVE-2026-60137（「wp2shell」）用の非侵入型チェッカーです。これはWordPressコアの認証前RCEチェーン（REST APIバッチルートの混乱 → SQLインジェクション → RCE）です。

• 影響を受けるバージョン: WordPress 6.9.0–6.9.4、7.0.0–7.0.1、7.1 beta（完全なRCEチェーン）; 6.8.0–6.8.5（SQLインジェクションのみ、CVE-2026-60137）。
• 修正済みバージョン: 6.8.6、6.9.5、7.0.2。

機能

• WordPressのバージョンをリモートでフィンガープリントします（readme.html、ホームページ <meta name="generator">、/feed/のジェネレータータグ）。
• 上記のバージョン範囲に基づいて、各ターゲットを脆弱 / 修正済み / 不明に 分類します。
• 脆弱なRESTルート（/wp-json/batch/v1、 ?rest_route=/batch/v1）に到達可能かどうかを確認します — WAF/REST-APIの緩和策が すでに導入されているかどうかの副次的なシグナルです。

やらないこと

SQLインジェクションやRCEペイロードは送信しません。完全なエクスプロイトチェーンは ここでは独自に検証されておらず、未テストのインジェクションペイロードを本番サイトに 送信すると、「テストしているだけ」の場合でも実際の損害を引き起こす可能性があります。 これは安全なトリアージとして扱い、ホスト上のwp core versionまたは認証済みの ベンダースキャナーで実際の状態を確認してください。

テストを許可されたシステムに対してのみ実行してください。

使い方

python3 wp2shell_check.py https://site1.example.com https://site2.example.com
python3 wp2shell_check.py -f targets.txt -o report.csv --workers 8
python3 wp2shell_check.py -f targets.txt --insecure   # internal self-signed certs

targets.txt: 各行に1つのURL/ホスト名を記述します。#はコメントです。

終了コード: 2 = 脆弱なターゲットを検出、1 = 少なくとも1つのターゲットで バージョンを特定できず、0 = すべて修正済み。

偽陰性に関する注意

バッチルートでの404は必ずしも「修正済み」を意味しません — 脆弱性を抱えた インストールの前面でWAF/CDNまたはセキュリティプラグインが匿名のREST APIアクセスを ブロックしている可能性もあります（レスポンスヘッダー/ボディでWAFのフィンガープリントを 確認してください）。実際に脆弱なコードを除去できるのは、修正版へのアップグレードだけです。

要件

Python 3.8以上、標準ライブラリのみ（追加の依存関係はありません）。