Critical WordPress Flaws Allow Attackers to Execute Remote Code Without Authentication
2026/10/17 gbhackers — WordPress のコア機能に存在する 2件の脆弱性を組み合わせることで、認証を必要とせずにリモートコード実行 (RCE) へ到達できる攻撃チェーンが報告された。この WP2Shell と呼ばれる攻撃チェーンは、REST API のルーティング処理に関する問題と SQL インジェクションを組み合わせて悪用するものだと、セキュリティ企業 Seqrite の研究者 Amruta Wagh は説明している。WP2Shell は 2026年7月に確認されたとされており、攻撃者は有効な WordPress の認証情報を必要とせずに、公開されている API エンドポイントを起点としてサーバを侵害する可能性がある。報告された攻撃チェーンは、WordPress 6.9.0～6.9.4 および 7.0.0～7.0.1 に影響する。
Skip to content
