wp2shell-check

WordPress の "wp2shell" 事前認証 RCE チェーンに対する非侵襲型暴露チェッカー （CVE-2026-63030 + CVE-2026-60137）。

⚠️ 許可された使用のみ。 所有している、または明示的なテスト許可を得た WordPress インスタンスに対してのみ実行してください。 これはトリアージ支援ツールであり、エクスプロイトではありません。許可なくシステムをスキャンすると違法となる場合があります。

機能

wp2shell-check は、URL を与えると次のことを行います:

1. ホームページの generator meta タグから WordPress バージョンを読み取ります（パッシブ）。
2. wp2shell チェーンの影響を受けるバージョンと比較します。
3. REST バッチエンドポイント（?rest_route=/batch/v1）に単一の良性プローブを送信して、 REST バッチルートに到達可能かどうかを確認します。
4. 1 行の判定結果を出力します。

高速なフリートトリアージ用に設計されています: 影響を受けるバージョンで REST に到達可能なサイトはどれか?

実行 しない こと

• SQL インジェクションペイロードを送信したり、ルート混乱バグを誘発したりするものではありません。
• 悪用可能性を確認するものではありません。ルートプローブは、バッチルートが登録され 入力が検証されていることを示すだけです — これは REST API が有効なほぼすべてのデフォルトインストールに当てはまります （バッチエンドポイントは WordPress 5.6 からコアに含まれています）。バージョンチェックが重要なシグナルです。
• これは到達可能性 + バージョンのヒューリスティックであり、概念実証（PoC）ではありません。

脆弱性（wp2shell）

2026-07-17 の緊急リリースで公開された、連鎖する 2 つの WordPress コアの欠陥:

連鎖することで、認証されていない攻撃者が SQL インジェクションに到達し、デフォルトインストール上で リモートコード実行 に昇格できるようになります — プラグインもログインも不要です。RCE 部分は、永続 オブジェクトキャッシュが 使用されていない 場合にのみ適用されます。

修正バージョン: 6.8.6（SQLi のみ）、6.9.5、7.0.2（および 7.1 Beta 2+）。WordPress は影響を受けるサイトに 対して強制自動更新を有効にしました — 更新が実際に適用されたことを確認してください。

Adam Kues（Assetnote / Searchlight Cyber）氏により、WordPress の HackerOne プログラムを通じて報告されました。

インストール

Python 3.9+ と requests が必要です。

# with uv
uv pip install requests

# or plain pip
pip install requests

使用方法

python wp2shell.py https://target.example

出力例:

https://target.example: VULNERABLE (RCE) [6.9.3]

出力の解釈

制限事項

• "VULNERABLE" は露出シグナルであり、確定ではありません。 つまり 影響を受けるバージョン + REST 到達可能 を意味します。 特定のホストでルート混乱 / インジェクションが悪用可能であることを証明するものではありません。
• 永続オブジェクトキャッシュ。 RCE には永続オブジェクトキャッシュが使用されていないことが必要です。サイトが 影響を受ける帯域に含まれていても RCE が悪用可能でない場合があり、このツールはそれをリモートから検出できません。
• バージョン検出はベストエフォートです。 generator タグは削除または偽装されていることがよくあります。バージョンが見つからない場合は wordpress not detected となり、サイトが安全である、または WordPress ではないという保証ではありません。
• 1 回の実行につき 1 つの URL。 バッチ入力、レート制限、コンソール行以外の出力形式はありません。

修復手順

1. 自身のブランチについて 6.8.6、6.9.5、または 7.0.2（それ以降）に更新し、更新が適用されたことを確認します。
2. すぐにパッチを適用できない場合は、WAF で /wp-json/batch/v1 と ?rest_route=/batch/v1 をブロックするか、 REST API への匿名アクセスを制限します。

免責事項

現状のまま提供されます。許可されたセキュリティテストおよび教育目的のみに使用してください。使用方法については、 すべての責任はあなたにあります。

参考情報

• WordPress セキュリティリリース 6.9.5 / 7.0.2（2026-07-17）
• Cloudflare — WordPress の脆弱性に対する WAF 保護
• The Hacker News — wp2shell の報道
• ZeroSec (zsec.uk) — wp2shell コードトレースの詳細解説