LANGZ — wp2shell Exploit Tool

Author: LANGZ
CVE: CVE-2026-63030 (Chained with CVE-2026-60137)
Severity: Critical (CVSS 9.8)
Type: Pre-Authentication Remote Code Execution (RCE)

⚠️ 免責事項

このツールは教育目的および許可されたセキュリティテスト専用として提供されています。

このツールを使用することにより、以下に同意したものとみなされます：

• 自身が所有するシステム、またはテストに対する明示的な書面による許可を得たシステムに対してのみ使用すること。
• 違法、無許可、または悪意のある活動に使用しないこと。
• 作者（LANGZ）は、このツールによって引き起こされたいかなる損害、データ損失、法的結果、または誤用についても責任を負いません。
• このツールの誤用は完全にユーザーの責任です。

許可なくシステムに対してこのツールを使用した場合、犯罪を犯すことになります。
作者はそのような行為を容認、支持せず、一切の責任を負いません。

📌 影響

CVE-2026-63030 は、WordPress コアのバージョン 6.9 で導入された REST API バッチルート混同の脆弱性（CWE-436）です。CVE-2026-60137（WP_Query の author__not_in パラメータにおけるブラインド SQL インジェクション）と連鎖させることで、未認証の攻撃者がデフォルトの WordPress インストール上で完全なリモートコード実行を達成できるようになります。

攻撃者ができること：

• WordPress データベース全体の読み取り（パスワードハッシュを含む）
• 新しい管理者アカウントの作成
• 任意の PHP ファイル（ウェブシェル）のアップロードと実行
• サーバー上での OS レベルのコマンド実行
• ウェブサイトとサーバーの完全な乗っ取り

危険である理由：

• プラグイン不要 — 標準の WordPress インストールに影響
• 設定変更も不要
• 単一の HTTP リクエストでチェーン全体をトリガー可能
• 公開された PoC エクスプロイトや Nuclei テンプレートが出回っている
• CISA は 2026 年 7 月 21 日に本脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加し、修復期限を 2026 年 7 月 24 日とした

🛡️ 緩和策

1. 即時のパッチ適用（推奨）

WordPress をパッチ適用済みバージョンに更新してください：

注意： WordPress は強制自動更新を有効にしていますが、自動更新を無効にしているサイトや、更新を遅延させるマネージドホスティングでは依然として脆弱なままです。更新が正常に適用されたことを確認してください。

2. 一時的な回避策（パッチ適用が遅れる場合）

• WAF またはリバースプロキシでバッチエンドポイントをブロックする：
  • /wp-json/batch/v1 への POST リクエストをブロック
  • ?rest_route=/batch/v1 への POST リクエストをブロック
• セキュリティプラグイン（例：「Disable WP REST API」）を使用して匿名の REST API アクセスを制限する
• WordPress 固有のルールセットを備えた WAF を導入し、SQL インジェクションの試行を検出・ブロックする
• データベースユーザーの権限を制限する — WordPress の DB アカウントがファイル書き込みや影響の大きい SQL 操作を実行できないようにする

3. 検出と侵害後のチェック

以下を確認してください：

• アクセスログにおける /wp-json/batch/v1 または ?rest_route=/batch/v1 への不審な POST リクエスト
• 未知の管理者アカウント
• /wp-content/cache/ やその他のウェブからアクセス可能なディレクトリ内の不審な PHP ファイル
• 予期しないプラグインや改ざんされたコアファイル

侵害の痕跡を発見した場合、ファイルと管理者アカウントを削除するだけでは不十分です。 完全なインシデント対応を実施し、システム全体の再構築を検討してください。

⚙️ エクスプロイトの仕組み

このエクスプロイトチェーンは 2 つの脆弱性を組み合わせています：

ステップ 1：ルート混同（CVE-2026-63030）

WordPress の REST API バッチプロセッサ（serve_batch_request_v1）にはオフバイワンのインデックスバグがあります。サブリクエストのパス（例："///"）で wp_parse_url() が失敗すると、結果の WP_Error は $validation[] にプッシュされますが、$matches[] にはプッシュされません。これにより 2 つの配列の同期が崩れ、後続のすべてのリクエストが誤ったハンドラの下でディスパッチされるようになります。

あるバッチの中に慎重に構造化された別のバッチをネストすることで、攻撃者はあるエンドポイントのスキーマで検証されたリクエストを、まったく別のエンドポイントのコールバックを通してルーティングでき、権限チェックを完全にバイパスできます。

ステップ 2：SQL インジェクション（CVE-2026-60137）

混同されたリクエストは WP_Query の author__not_in パラメータに到達します。WordPress は文字列を配列にキャストしますが、absint() によるサニタイズをスキップするため、生の SQL インジェクションが可能になります。このツールはこれを利用して：

• データベースを読み取る（UNION SELECT）
• 偽の WP_Post オブジェクトで WordPress のオブジェクトキャッシュを汚染する
• 権限を昇格させるチェンジセットの自動公開をトリガーする
• 管理者コンテキストで REST API に再侵入する

ステップ 3：チェーン全体の実行

セットアップが完了すると（テーブルプレフィックスと管理者 ID の特定）、昇格ペイロードが単一の HTTP リクエストで発火します：

1. キャッシュポイズニング（UNION による偽の投稿）
2. 権限昇格（チェンジセットの自動公開）
3. ユーザー作成（管理者アカウント）

その後、ツールは生成された管理者認証情報を使用して、OS コマンド実行のためのプラグインベースのウェブシェルを展開します。

🚀 実行方法

要件

• Python 3.8+
• 外部依存関係なし（標準ライブラリのみ使用）

基本的な使い方

# Single target check
python3 wp2shell.py http://target.com

# Check with active SQLi confirmation
python3 wp2shell.py http://target.com --confirm-sqli

# Read database (fingerprint)
python3 wp2shell.py http://target.com --read --preset fingerprint

# Read user logins and password hashes
python3 wp2shell.py http://target.com --read --preset users

# Deploy webshell and run a command
python3 wp2shell.py http://target.com --shell --cmd id

# Interactive shell
python3 wp2shell.py http://target.com --shell -i

# Mass scan from file
python3 wp2shell.py targets.txt

インタラクティブメニュー

引数なしで実行すると、インタラクティブメニューが開きます：

python3 langz.py

══════════════════════════════════════════════════════════════
   ██╗      █████╗ ███╗   ██╗ ██████╗ ███████╗
   ██║     ██╔══██╗████╗  ██║██╔════╝ ╚══███╔╝
   ██║     ███████║██╔██╗ ██║██║  ███╗  ███╔╝
   ██║     ██╔══██║██║╚██╗██║██║   ██║ ███╔╝
   ███████╗██║  ██║██║ ╚████║╚██████╔╝███████╗
   ╚══════╝╚═╝  ╚═╝╚═╝  ╚═══╝ ╚═════╝ ╚══════╝

        ▓▒░  L A N G Z   T O O L S  ░▒▓
             Author : LANGZ
             CVE    : (CVE-2026-63030)
──────────────────────────────────────────────────────────────
  [1] Single Target  - Check
  [2] Mass Target    - Check
  [3] Single Target  - Auto Admin
  [4] Mass Target    - Auto Admin
  [5] Exit
──────────────────────────────────────────────────────────────
  Results -> Results/results.txt
══════════════════════════════════════════════════════════════

オプション

🔗 CVE リファレンス

• CVE-2026-63030 — https://nvd.nist.gov/vuln/detail/CVE-2026-63030
• CVE-2026-60137 — https://nvd.nist.gov/vuln/detail/CVE-2026-60137
• WordPress Security Release — https://wordpress.org/news/2026/07/wordpress-7-0-2/
• CISA KEV Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Nuclei Template — https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2026/CVE-2026-63030.yaml

📜 ライセンス

このプロジェクトは教育および許可されたセキュリティテスト目的のみで提供されています。
作者 LANGZ は、このツールによって引き起こされたいかなる誤用や損害についても一切の責任を負いません。

Author: LANGZ
CVE: CVE-2026-63030