ハッカーのサーバー公開放置により「WP-SHELLSTORM」の全貌が判明、数万件のWordPressサイトがバックドア被害に

要点

• サイバー犯罪グループが自ら設定したPythonサーバーを22日間公開状態のまま放置し、ハッキング活動の内部データ約800MBが露出した。
• この活動は「WP-SHELLSTORM」と命名され、脆弱性のあるWordPressなどのサイトにバックドアを設置してアクセス権を販売するブローカー業務を行っていた。
• 標的リストには140万件以上のドメインが含まれていたが、実際に被害が確認されたのは調査機関によって異なり約5,700〜25,000件程度である。
• 攻撃には27個の既知の脆弱性が悪用され、WordPressのBreezeキャッシュプラグインやJoomlaのJCEエディタの脆弱性が主に狙われた。
• 同グループは以前に企業向けのJavaシステムを狙った攻撃も行っており、AWSなどのクラウドキーやAlipayの秘密鍵を窃取していた。

本文

サイバー犯罪グループが管理するサーバーが、パスワード保護なしでインターネット上に放置されたことにより、そのハッキング活動の全容が明らかになった。セキュリティ調査機関のSOCRadarおよびCtrl-Alt-Intelが2026年7月までに、それぞれデータ分析結果を公開した。このハッキングキャンペーンは「WP-SHELLSTORM」と名付けられ、世界中の多数のウェブサイトにバックドアが仕掛けられていた実態が判明している。

明らかになったデータによると、このサイバー犯罪グループは「ウェブシェル・アクセスブローカー」と呼ばれる形態で活動していた。これは、セキュリティ対策が不十分なウェブサイトにウェブシェル（サーバーを遠隔操作するための不正なスクリプト）を仕込んでバックドアを設置し、そのサーバーへのアクセス権を他の攻撃者へ転売するビジネスモデルである。

この情報流出は、ハッカー側の単純なミスが原因であった。攻撃者がファイルを移動させるために起動したPythonの簡易ウェブサーバーが、そのまま22日間にわたって稼働し続けたためである。2026年6月11日にSOCRadarの脅威インテリジェンスチームが、米国にあるIPアドレス「137.175.93.126」のレンタルサーバー上で、パスワードなしで誰でもアクセスできる状態になっているこのフォルダを発見した。また、Ctrl-Alt-IntelもHunt.ioのオープンディレクトリプラットフォーム上で同フォルダを確認し、6月22日に先行して分析結果を発表していた。露出したデータは約800MBに及び、434件のファイルには、ハッキングツール、スキャン結果、コマンド履歴、C2（指令）サーバーの設定などが含まれていた。

攻撃グループは、中国のインターネット機器検索エンジン「FOFA」（インターネットに接続された機器の情報を検索できるサービス）から膨大な標的リストを収集し、自動スキャナー（特定の脆弱性を自動で探索するツール）を用いて攻撃を仕掛けていた。攻撃対象となった既知の脆弱性は27種類に及ぶ。特に狙われたのは、WordPressの「Breeze」キャッシュプラグインと、Joomlaの「JCEエディタ」の脆弱性であった。

特に大きな被害を出したのは、Breezeに存在する脆弱性（CVE-2026-3844）であった。攻撃者はこの脆弱性を4万5000以上のターゲットに実行し、自らの記録によれば1万7000件以上のサイトをバックドア化することに成功したという。ただし、この脆弱性はデフォルト設定ではない「Host Files Locally – Gravatars（グラバターのローカルホスト）」という設定が有効になっている場合のみ機能するため、すべてのBreeze導入サイトが危険にさらされたわけではない。

また、今回のデータ流出によって、セキュリティ企業の発表する「標的数」と「実際の被害数」のギャップも浮き彫りになった。ハッカーのサーバー内に残されていた標的リストには、計140万件以上のドメインが含まれていた。これにはWordPressやJoomlaなどのシステムが含まれており、Joomlaのターゲットリストだけで約58万7000件に達していた。しかし、実際に侵入されたサイトははるかに少ない。Ctrl-Alt-Intelの検証では、重複を除いて25,195サイトに侵入の痕跡が確認されたが、SOCRadarが稼働中のウェブシェルを追跡したところ、アクティブな被害サイト数は5,700件以上とされている。例えば、あるJoomlaの脆弱性に対する攻撃は56万件以上のターゲットに仕掛けられたものの、成功したのはわずか77件であった。

攻撃で用いられたメインのウェブシェル「down.php」は、4層にわたって難読化処理が施されており、中国のオープンソースツール「BestShell」から派生したものとみられる。また、ハッカーはシステムに常駐するために「SNOWLIGHT」と呼ばれるドロッパー（他のマルウェアを標的のシステム内に呼び込んで実行させるプログラム）を使い、ステルス型のバックドア「VShell」を設置していた。VShellは、Linuxのプロセスリスト上で「kworker/0:2」というカーネルスレッド（OSの基盤部分で動作する処理の単位）に偽装する仕組みを持っていた。

なお、SNOWLIGHTとVShellの組み合わせについては、2025年4月にセキュリティ企業のSysdigが、中国の国家支援型と疑われるハッカー集団「UNC5174」と関連付けて報告していた経緯がある。しかし、VShellは中国語圏のサイバー犯罪コミュニティで広く流通している一般的なツールであるため、今回の「WP-SHELLSTORM」の背後に国家支援型集団が関与しているとまでは断定できない。

このサーバーからは、今回のWordPressサイトへの大規模攻撃が始まる以前の、2026年5月初頭に行われた別の静かな攻撃キャンペーンの痕跡も見つかっている。このキャンペーンでは企業のJavaシステムが標的とされ、金融テック、Eコマース、物流、ゲーム、エレクトロニクスなどの業界に属する9社（11システム）から613件の設定ファイルが盗み出されていた。この攻撃では、設定サーバー（アプリケーションの設定を一元管理するシステム）である「Nacos」の古い脆弱性（CVE-2021-29441）が悪用されていた。盗まれたデータには、AWSやAlibaba Cloud、Oracle、Tencent、DigitalOceanなどのクラウドログインキー、データベースのパスワード、そしてAlipayのRSA秘密鍵（データの暗号化やデジタル署名に用いられる暗号キー）などが含まれていた。