SkelerSecurity コアセキュリティプラグイン

WordPress Core の REST Batch API エンドポイントへの未認証アクセスに対する、焦点を絞った一時的な緩和策です。

概要

SkelerSecurity Core Security Plugin は、WordPress が Core REST Batch API ルートへのリクエストを処理する前に認証を要求します：

• /wp-json/batch/v1
• /?rest_route=/batch/v1

これは、一般に wp2shell と呼ばれる WordPress REST Batch API の脆弱性チェーンに対する、範囲を限定した多層防御（defense-in-depth）コントロールとして設計されています。このプラグインは、WordPress の rest_pre_dispatch フィルターを使用して、匿名のバッチリクエストを HTTP 401 Unauthorized で拒否する一方、認証済みの WordPress ユーザーおよび REST API ユーザーのアクセスは維持します。

[!IMPORTANT] このプラグインは一時的な緩和策であり、WordPress Core のアップデートの代替ではありません。 最新の WordPress セキュリティリリースを直ちに適用し、アップデートが正常に完了したことを確認してください。

脅威の背景

公開レポートでは、REST Batch API のルート不一致（CVE-2026-63030）と関連する SQL インジェクションの問題（CVE-2026-60137）を含む、WordPress Core の重大な脆弱性チェーンが報告されています。影響を受けるエンドポイントには、パーマリンク形式とクエリ文字列形式の両方の REST ルーティングで到達できます。

影響を受けると報告されている Core リリースは次のとおりです：

WordPress 6.8 ブランチも 6.8.6 で関連する堅牢化が行われています。バージョン範囲をアップデート遅延の理由とせず、ご利用の環境で利用可能な最新のサポート対象 WordPress リリースを使用してください。

このプラグインの機能

• /batch/v1 REST ルートに対して、有効な認証済み WordPress ユーザーを要求します。
• WordPress が両方を同じ REST ルートとして解決するため、/wp-json/batch/v1 と ?rest_route=/batch/v1 の両方を対象とします。
• 匿名リクエストに対して、HTTP ステータス 401 の標準 REST エラーを返します。
• REST ディスパッチの早い段階で動作します（rest_pre_dispatch 優先度 -1000）。
• WordPress が認識する有効な REST 認証方式を含む、認証済み REST リクエストを許可します。
• ツール → SkelerSecurity Core 設定ページを提供します。
• ブロックされた試行の、プライバシーを最小化した任意の監査ログを含みます。
• WordPress からプラグインが削除されると、オプションとログを削除します。

このプラグインが行わないこと

• WordPress Core にパッチを適用したり、根本的な脆弱性を除去したりすることはありません。
• プラグインが読み込まれる前に WordPress が失敗した場合、インストールを保護することはありません。
• WAF、リバースプロキシ、サーバー堅牢化、監視、バックアップ、またはインシデントレスポンスの代替にはなりません。
• サイトが以前に侵害されたかどうかを判断することはありません。
• REST API 全体をブロックすることはありません。

最強の一時的なカバレッジを得るには、このプラグインを、上記の両方のエンドポイント形式への匿名リクエストをブロックする WAF またはリバースプロキシルールと組み合わせてください。

要件

• WordPress 5.6 以降
• PHP 7.2 以降
• プラグインをインストールおよび有効化するための管理者アクセス

インストール

オプション 1: WordPress 管理画面からアップロード

1. プロジェクトを ZIP アーカイブとしてダウンロードするか、リリースパッケージを使用します。
2. WordPress 管理画面で、プラグイン → 新規追加 → プラグインのアップロード を開きます。
3. ZIP アーカイブを選択し、今すぐインストール を選びます。
4. SkelerSecurity Core Security Plugin を有効化します。
5. ツール → SkelerSecurity Core を開き、保護が有効になっていることを確認します。

オプション 2: ファイルシステム / SSH / FTP

1. skelersecurity-core-security ディレクトリを次の場所にコピーします：

   root@kitploit:~

   wp-content/plugins/
   

2. プラグイン → インストール済みプラグイン でプラグインを有効化します。

3. ツール → SkelerSecurity Core でプラグインのステータスを確認します。

オプション 3: WP-CLI

wp plugin activate skelersecurity-core-security

設定

プラグインは有効化後すぐに有効になります。ツール → SkelerSecurity Core にアクセスして管理します：

監査ログのプライバシー

オプションの監査ログは次のものだけを記録します：

• UTC タイムスタンプ
• HTTP メソッド
• REST ルート（/batch/v1）

IP アドレス、クッキー、認証ヘッダー、リクエストボディ、ユーザー名、その他の機密性の高いリクエストデータは、意図的に記録しません。

期待される動作

匿名リクエストがブロックされた場合のレスポンスは、次のエラーコードを使用します：

rest_batch_authentication_required

推奨される緊急展開計画

1. 直ちに WordPress Core を更新します。 これが実際の修復です。
2. 本番環境、ステージング環境、キャンペーンサイト、レガシーサイトで更新された Core バージョンを確認します。
3. このプラグインは、必要な場合の一時的なアプリケーション層の緩和策としてのみ有効化します。
4. WAF、CDN、リバースプロキシ、または Web サーバーで、次の両方に一致する匿名リクエストをブロックします：
   • /wp-json/batch/v1
   • rest_route=/batch/v1
5. アクセスログ、管理者アカウント、インストール済みプラグイン/テーマ、アップロード、must-use プラグインに侵害の兆候がないか確認します。
6. 不審なアクティビティが見つかった場合は、そのホストは侵害されている可能性があるとみなし、インシデントレスポンスプロセスに従います。
7. Core のパッチ適用と検証後、一時的なエンドポイント制限が引き続き環境に必要かどうかを判断します。

互換性と運用上の考慮事項

Batch API は、WordPress の管理ワークフロー、プラグイン、テーマ、モバイルクライアント、または外部インテグレーションで使用される可能性があります。認証済みリクエストは引き続き許可されますが、プラグインを有効化した後、ビジネスに重要な機能をテストしてください。

潜在的な影響には、意図的に未認証リクエストを Core Batch API に送信するインテグレーションが含まれる可能性があります。そのような動作が必要な場合は、リスクを慎重に評価し、エンドポイントを広く公開するのではなく、適切に認証されたインテグレーションを実装してください。

WAF およびリバースプロキシのガイダンス

ネットワーク層の緩和策は、両方のルーティング形式をカバーする必要があります。WordPress は rest_route クエリパラメータ経由でもリクエストをルーティングできるため、/wp-json/batch/v1 のみをブロックするのは不十分です。

推奨されるルールロジック：

• 正規化されたパスが /wp-json/batch/v1 である匿名リクエストを拒否します（オプションの末尾スラッシュは許可）。
• クエリパラメータ rest_route=/batch/v1 を持つ匿名リクエストを拒否します。
• 適切なルール ID と標準的なリクエストメタデータを使用してブロック判定をログに記録します。
• ポリシーで必要とされ保護されていない限り、機密性の高いリクエストボディや資格情報をログに保持しないようにします。

ご利用の環境でルールをテストしてください。このプラグインは WAF の変更をすぐに展開できない場合に役立ちますが、WordPress Core へのパッチ適用を妨げるものではありません。

セキュリティ報告

セキュリティ脆弱性を公開の GitHub イシューで報告しないでください。

疑わしい脆弱性は、セキュリティ担当者またはリポジトリ所有者に非公開で報告してください。明確な説明、影響を受けるバージョン、再現可能な概念実証、影響評価を含めてください。資格情報、個人データ、破壊的なペイロードは含めないでください。

参考リンク

• Hadrian — wp2shell: Pre-Auth RCE in WordPress Core’s REST API
• Patchstack — Unauthenticated SQL Injection in WordPress Core Fixed in 7.0.2
• Cyber Insider — WordPress releases emergency update for critical “wp2shell” RCE flaw

ライセンス

このプロジェクトは GNU General Public License v2.0 以降 の下でライセンスされています。