WordPressに匿名コメントからサーバー制御を奪われる脆弱性「Comment2Shell」が判明、修正版が公開

要点

• WordPressのコア機能に、投稿されたコメントを通じて最終的にサーバー上で任意のコードを実行される脆弱性（CVE-2026-93485、通称「Comment2Shell」）が発見された。

• コメントの表示処理における仕様の隙を突き、ページを閲覧したログイン中の管理者セッションを悪用してWebシェル入りプラグインをアップロードさせる仕組みとなっている。

• 開発元は2026年9月17日に修正版「WordPress 7.1.1」などをリリースし、サイト管理者に早急なアップデートを呼びかけている。

• 影響はWordPress 4.7から7.1までの広範なバージョンにおよび、各サポート対象ブランチ向けにもセキュリティ修正が配信されている。

• 現時点で実際の攻撃への悪用は確認されていないが、即時更新できない場合の緩和策としてコメント機能の停止などが挙げられている。

• WordPressのコアシステムにおいて、匿名ユーザーが投稿したコメントを起点にサーバーの完全な制御を奪われる恐れのある脆弱性が明らかになった。セキュリティ研究者のRafie Muhammad氏が詳細を報告し、脆弱性情報プラットフォームのPatchstackによって「CVE-2026-93485」（通称：Comment2Shell）として採番されている。WordPress開発チームは2026年9月17日付でセキュリティ修正を含むメンテナンスリリース「WordPress 7.1.1」を公開し、サイト運営者に対して速やかなアップデートを呼びかけている。

投稿保存と表示処理の「隙間」を突くゼロクリックXSS

本脆弱性は、WordPressがコメントを処理する際、投稿保存時に行う危険なHTMLタグの検証と、ページ表示時に行うテキストの再フォーマット処理との間に存在する処理の差異に起因している。

Muhammad氏が9月21日に公開した技術報告によると、攻撃者は許可されているHTMLタグの属性内に改行を挿入したコメントを投稿する。WordPressが表示のためにコメントを整形する際、特定のステップでタグが意図せず分解され、挿入された文字列がブラウザによって有効なイベントハンドラ（操作に応じて処理を起動するスクリプト属性）として認識される構造になっていたという。

この結果、該当するコメントが含まれるページを開くだけで、リンクのクリックなどの追加操作を必要とせずにスクリプトが自動実行される。スクリプトはページを開いた閲覧者のWebブラウザ上で動作し、その閲覧者が持つ権限の範囲でサイトに対する操作を実行する。

管理者セッションを悪用してWebシェルを設置

このブラウザ上でのスクリプト実行がサーバーの遠隔操作へと発展するには、特定の条件が必要となる。それは、ログイン状態にあるサイト管理者が該当のコメントが掲載されたページを開くことである。

管理者権限を持つユーザーがページを閲覧すると、スクリプトはその管理者自身のアクティブなセッションを利用して不正な処理を開始する。具体的には、サーバー上で任意のコマンドを実行できる小型プログラムである「Webシェル」を仕込んだWordPressプラグインを自動的にアップロードさせる。管理者のブラウザを介してプラグインを導入する手法は、攻撃者がサーバーの制御権を獲得するための既知の侵入経路として知られている。

この攻撃が成立するかどうかは、サイトが採用しているテーマのコメント表示方法にも左右される。WordPressで「Twenty Twenty-Two」以降標準となっているブロックテーマ（ブロック単位で画面を構成するテーマ）を使用しているサイトのほか、「Twenty Twenty-One」をはじめとする同様の処理ステップを持つ一部のクラシックテーマでも影響を受けることが確認されている。

また、初期設定のWordPressでは新規投稿者のコメントは管理者の承認待ちとなるが、研究者は承認プロセスを経ずにコメントをページ上へ露出させる回避策が存在することを指摘している。Patchstackもこの点について、コメントのモデレーション（承認・管理機能）はセキュリティ対策の代わりにはならないと注意を促している。

広範な旧バージョンにも影響、開発元は即時更新を呼びかけ

Patchstackは本脆弱性の深刻度について、共通脆弱性評価システム（CVSS）のスコアで10点満点中「7.1」と評価している。現時点において実際の攻撃で悪用された形跡は確認されておらず、米国政府による悪用確認済み脆弱性リストにも掲載されていない。

影響を受けるバージョンはWordPress 4.7から7.1までと広範におよぶ。WordPress開発チームは最新版の7.1.1に加え、過去のサポートブランチに対しても以下のような修正バージョンを提供している。

• WordPress 7.1系：バージョン7.1.1へ更新
• WordPress 7.0系：バージョン7.0.5へ更新
• WordPress 6.9系：バージョン6.9.8へ更新
• WordPress 4.7系までの旧ブランチ：4.7.36など、各ブランチ向けに提供されている修正版へ更新

直ちにコアのアップデートを適用できない環境に向けては、個別投稿のコメント欄を閉じるか、サイト全体でコメント受付機能を停止することが一時的な侵入経路の遮断策として案内されている。また、Webアプリケーションファイアウォール（WAF）やセキュリティプラグインによって細工されたコメントを遮断できる可能性もあるという。

ただし、開発チームおよび研究者のいずれも本体更新以外の恒久的なワークアラウンドは公開しておらず、Muhammad氏も迅速なアップデートを推奨している。なお、システムのアップデートは脆弱性を塞ぐものの、すでに攻撃者によって行われた不正な変更を取り消す効果はないため、侵害が疑われるサイトでは見覚えのないプラグインや不審なファイルが存在しないか個別に確認することが求められている。