wp2shell_scanner

最近のWordPress コア 脆弱性 — wp2shell 事前認証RCEチェーンを含む — に対する非侵入型検出スキャナーです。

wp2shell_scanner.py はWordPressサイトのコアバージョンをフィンガープリントし、公開されているREST APIサーフェスを読み取り、検出されたバージョンに対して追跡中の各コアCVEを個別に分類します。判定はブランチ対応です — 例えば 6.8.x のサイトはSQLインジェクションCVEには露出していると正しく報告されますが、完全なRCEチェーンには該当しません。検出のみを行います。エクスプロイトペイロードが送信されることは一切ありません。単一ファイル、依存関係は1つ（requests）、CIフレンドリーな終了コード、そしてクライアント対応のHTML / JSON / メールレポートを提供します。

⚠️ 許可された利用のみ。 自分が所有する、または（書面で）明示的にテストを許可されたシステムのみをスキャンしてください。このスキャナーは識別用のUser-Agentを送信するため、ブルーチームがトラフィックを特定できます — 隠蔽はしません。

追跡対象の脆弱性（WordPressコア）

wp2shell RCEチェーン = CVE-2026-63030 + CVE-2026-60137 の組み合わせ → デフォルトインストールにおける事前認証リモートコード実行。スキャナーは、検出されたバージョンで両方のCVEが脆弱と分類された場合のみ、チェーンを露出として報告します。

スキャナーが正しく処理するブランチのニュアンス:

• 6.8.x はSQLインジェクション（CVE-2026-60137）のみを含む — RCEチェーンは対象外。
• 6.9ブランチでは、CVE-2026-3906（Notes）は6.9.2で修正されますが、wp2shellチェーンは6.9.5まで閉じられません。したがって6.9.2/6.9.4はNotesバグに対しては修正済みと判定されますが、RCEチェーンに対しては脆弱のままです — そのためスキャナーはこのブランチでは**6.9.5以降**のみを推奨し、6.9.4は決して推奨しません。

運用上重要な点: wp2shellの技術解説書と動作するPoCはすでに公開されています。バージョン検出は今や絶対的な最低限です — 優先事項はパッチ適用です。更新により脆弱な経路は閉じられますが、パッチ前に仕込まれたバックドアは除去されません — そのためレポートには侵害評価のステップが含まれています。

対象範囲

これはコアバージョンスキャナーです。プラグインおよびテーマのCVE — WPScan / Patchstackカタログの大部分 — は、ライブでキュレーションされたフィードとプラグインごとのバージョン列挙を必要とするため、ここでは意図的に対象外です。その領域（最近のWordPressコアCVE）において、商用の脆弱性データベースを複製するのではなく、正確かつブランチ単位で正確であることを目指しています。

スキャナーの機能

• 4つの公開バージョンベクターにわたる受動的WordPressフィンガープリンティング:
  • ホームページ上の <meta name="generator">
  • /readme.html
  • RSS / Atomフィードの <generator> タグ
  • /wp-links-opml.php（OPML）
• ベクターの相互検証。 バージョンについて不一致がある場合、またはプレリリースビルド（beta/RC/alpha）が検出された場合、判定はUNKNOWNに強制されます — スキャナーは矛盾する証拠から誤った可能性のあるPatchedを報告することはありません。
• REST APIサーフェスの検出 — /wp-json/ を読み取り、WordPressがRESTインデックスでbatch/v1名前空間を公開しているかどうかを確認します。これは名前空間が登録されていることを確認するもので、WAF経由でエンドポイントに到達可能であることを確認するものではありません。バッチリクエストもペイロードも送信されません。
• CVEごとの判定 — 検出されたバージョンは各追跡CVEに対して個別に分類され（ブランチ対応）、さらに以下を出力します:
  • クライアント対応のHTMLレポート（印刷 → PDF）、
  • JSONレコード（パイプライン/EAVフレンドリー）、
  • 通知メールのドラフト。

明示的に行わないこと

何も悪用しません。SQLインジェクションペイロードも、バッチルート混乱リクエストも、コード実行やデータ読み取りの試みもありません。検出はバージョンベースに加え、公開されているAPIサーフェスの受動的な読み取りに基づきます。

インストール

pip install requests

使用方法

# single target
python3 wp2shell_scanner.py -t https://site.example --authorized

# list of targets (one per line, # comments allowed)
python3 wp2shell_scanner.py -T scope.txt --authorized -o ./reports

# preview the output formats with synthetic data — no network, no auth needed
python3 wp2shell_scanner.py --demo -o ./reports

フラグ

--authorized フラグは明示的な認可ゲートです — ライブスキャンはこれなしでは実行を拒否します。

終了コード（CIフレンドリー）

設定

通知メールの受信者は、スクリプト上部付近にあるCSSLTD_CONTACT定数です（デフォルト [email protected]）。ご自身の受信用アドレスに編集してください。

判定

出力例

examples/ ディレクトリには、架空の脆弱なホスト（example.com、WordPress 6.9.1 — 追跡対象の3つのCVEすべてに露出）向けの合成（--demo）出力が含まれています:

• wp2shell_report_example.com.html — クライアント対応のHTMLレポート
• wp2shell_example.com.json — JSONレコード
• wp2shell_email_example.com.txt — 通知メールのドラフト

これらはレポート形式を説明するための架空のデータから生成されています。実際のサイトをスキャンした結果ではありません。

是正策（レポートに出力される内容）

1. まず検証済みのバックアップ（DB + 完全なファイルツリー）を取得します。
2. WordPressコアを、すべての追跡CVEを解消するリリース — 6.8.6 / 6.9.5 / 7.0.2 — または該当ブランチのそれ以降に更新します。（6.9では、6.9.5+のみがクリアです — 6.9.4にはまだwp2shellチェーンがあります。）
3. サイトと管理画面が引き続き動作することを確認します。
4. 脆弱な状態の間にホストが露出していた場合は侵害を想定します — テーマ、プラグイン、uploads/、wp-config.php、wp-cron、管理者アカウントにわたって侵害評価を実行します。既知の正常なコアに対してファイル整合性チェックを実行します。
5. エッジに多層防御を追加します（WAFルール、/wp-json/batch/v1の制限）。
6. 侵害が疑われる場合はシークレット（認証ソルト、管理者/DBパスワード、APIキー）をローテーションします。
7. 再スキャンして、判定がPatchedになったことを確認します。

参考情報

• WordPress GitHubセキュリティアドバイザリ — wp2shell RCEチェーン（GHSA-ff9f-jf42-662q）
• WordPress GitHubセキュリティアドバイザリ — author__not_in SQLi（GHSA-fpp7-x2x2-2mjf）
• WordPress GitHubセキュリティアドバイザリ — Notes REST API（GHSA-6x83-fcf5-r65g）
• NVD — CVE-2026-63030 · NVD — CVE-2026-3906
• Rapid7 — ETR: CVE-2026-63030 wp2shell
• VulnCheck — WP2Shell (CVE-2026-63030 & CVE-2026-60137)
• WordPressリリース（安全な対象: 6.8.6 / 6.9.5 / 7.0.2）

免責事項

このツールは許可されたセキュリティテスト専用です。対象をスキャンする許可を得ていることを確認する責任は利用者にあります。無許可のスキャンは違法となる場合があります。作者は誤用について一切の責任を負いません。