wp2shell: WordPress バッチ RCE

CVE-2026-63030 の技術的解説。これは WordPress コアの REST API バッチエンドポイントにおけるロジックバグで、匿名リクエストを別のリクエストのルートと権限チェックの下でディスパッチさせ、CVE-2026-60137（SQL インジェクション）へ連鎖することで、標準インストール上で認証なしのリモートコード実行を可能にします。2026年7月に WordPress 7.0.2 / 6.9.5 でパッチが適用されました。

開示. 本記事とラボは、WordPress の公開フィックスと Searchlight Cyber の公開アドバイザリの後に作成されました。配列デシンク（array-desync）機構は完全かつ安全に再現されています。観察に必要なのは読み取り型（read-shaped）のリクエストのみです。SQL インジェクションから RCE への連鎖はメカニズムレベルの説明に留め、実働するエクスプロイトペイロードは公開していません。

解説

1. メカニズム — WP_REST_Server::serve_batch_request_v1() が2つの並列配列をどのようにデシンクさせるか、脆弱な 7.0.1 とパッチ適用済み 7.0.2 の正確な1行差分、そして実際に脆弱な WordPress に対するライブプルーフ。
2. 検出 — リクエストのフィンガープリント、アクセスログを探るクエリ、PHP エラーログの手がかり。
3. 侵害指標と緩和策 — WAF ルール（nginx/Apache/ModSecurity）とドロップインの mu-plugin。

ラボ

batch-rce-lab/ — 実際の脆弱な WordPress 7.0.1 を実行する Docker Compose。安全な HTTP プルーフが、稼働中のサーバーを脆弱なソースとパッチ適用済みソースの間で切り替え、応答の反転を示します。WordPress を一切使わずにデシンクを再現するスタンドアロン PHP モデルも含みます。完全な実行手順は batch-rce-lab/README.md にあります。

オンラインで読む

GitHub Pages で公開: https://zenithgenius.github.io/wordpress-batch-rce-lab/

クレジット

脆弱性は Assetnote（Searchlight Cyber）の Adam Kues 氏によって発見され、WordPress の HackerOne プログラムを通じて報告されました。解説とラボは Isaac Joumessi 氏によるものです。教育目的および防御目的でのみ使用してください。