WP2Shell スキャナー

WordPress サイトが WP2Shell（CVE-2026-63030 および CVE-2026-60137）に晒されているかどうかを確認するコマンドラインツールです。読み取り専用のリクエストで WordPress のバージョンと REST API の公開状況を読み取り、判定結果を報告します。何も悪用しません。

[!WARNING] 許可を得たテスト専用です。所有しているサイト、または書面で確認の許可を得たサイトでのみ使用してください。 作者（DanSec）は誤用や損害について一切の責任を負いません。

WP2Shell について

WP2Shell は、SQL インジェクション（CVE-2026-60137）と REST バッチプロセッサの欠陥（CVE-2026-63030）を /wp-json/batch/v1 エンドポイント経由で連鎖させ、デフォルトの WordPress インストールで認証なしのリモートコード実行を可能にします。両 CVE は CISA の既知の悪用カタログに掲載されています。

インストール

Python 3.8+ が必要です。

pip install -r requirements.txt

requests と rich が必要です。sublist3r はオプションです（サブドメイン列挙用）。 より広範囲な列挙には、subfinder（pip ではなく Go バイナリ）をインストールし、--subfinder を指定してください。

使用方法

# 1 つのホストを確認
python wpScanner.py example.com --passive

# ルートドメインのサブドメインを列挙し、それぞれを確認
python wpScanner.py example.com --subfinder --threads 8

結果

結果は CSV にも書き出されます。バージョンソースが一致しない場合、誤った「全クリア」判定を避けるため、ツールは最も低いバージョンで分類します。リモートチェックでは、バージョン文字列を変更せずにバックポートされたパッチを確認できないため、管理下のホストでは wp core version が真実の基準となります。

修復

コアを 6.9.5、7.0.2、または 7.1+ に更新してください（wp core update）。まだパッチを適用できない場合は、ファイアウォールで /wp-json/batch/v1 をブロックし、匿名の REST アクセスを制限してください。

免責事項

許可を得た防御目的のみで提供されます。チェック対象のホストに対して確認の許可を持っているかどうかは、利用者の責任です。