WordPressに強制テーマ導入からコード実行へ繋がる脆弱性「Click2Shell」が判明、修正版が公開
要点
- WordPressのコアソフトウェアに、ログイン中の管理者が悪意あるリンクを開くだけで公式テーマが自動インストールされる脆弱性が発見された。
- セキュリティ企業pwn.aiが攻撃手法を「Click2Shell」と命名し、特定テーマの不備と組み合わせることでサーバー上で任意のコードを実行できる実証結果を公表した。
- 脆弱性単体での深刻度はCVSS 7.1（高）、コード実行まで連鎖させた場合はCVSS 9.6（緊急）と評価されているが、現時点で実際の攻撃への悪用は確認されていない。
- 開発元は2026年9月17日に修正版「WordPress 7.1.1」および過去のサポート対象ブランチ向けパッチを公開し、迅速な更新を呼びかけている。
オープンソースのCMS（コンテンツ管理システム：Webサイトの構築や管理を行うソフトウェア）であるWordPressのコア機能において、細工されたリンクを開かせることでテーマを強制的にインストールさせ、最終的にサーバー上で任意のコードを実行できる脆弱性群が明らかになった。
この問題はセキュリティ企業pwn.aiの研究チームによって報告されたもので、開発元は2026年9月17日、脆弱性を修正した「WordPress 7.1.1」などをリリースした。セキュリティに関わる修正であることから、WordPress側は管理者に対して直ちに対策版へアップデートするよう案内している。
リンクの解釈差異を利用してインストールを強制する仕組み
pwn.aiが「Click2Shell」と名づけたこの攻撃は、WordPressの内部における2つの処理系が、単一のリンクを異なる方法で解釈してしまう仕様の不備に起因している。
攻撃者が用意したリンクに含まれるパラメータを、WordPress.orgの公式ディレクトリ側は通常のテーマ名として解釈し、該当する正規テーマの情報を返す。一方で、管理者のブラウザ側は、そのリンク内の文字列や記号をそのまま画面上の要素を特定するためのコード内で再利用してしまう。攻撃者がリンク内に特定の細工を施しておくことで、そのコードが管理画面の「インストール」ボタンをターゲットとして指定し、WordPress自身が持つスクリプトによってボタンが自動的にクリックされる動作を引き起こす。
この攻撃はログイン中の管理者がリンクを開くことを前提としているため、インストールの実行に必要な管理者権限やセキュリティトークン（正規のリクエストであることを証明する一時的な認証データ）は、管理者の既存セッションから自動的に供給される。そのため、攻撃者自身が認証情報を用意する必要はない。
ただし、コアソフトウェアの不備単体で実行できるのは「WordPress.orgに実在する正規テーマを、非アクティブ（無効化）の状態で強制的にインストールすること」に限られる。攻撃者が外部から任意のZIPファイルを直接送り込んでインストールさせることはできないとされている。
テーマ側の不備と組み合わせたリモートコード実行への連鎖
強制的にインストールされたテーマは無効化された状態のままであるため、サイトの外見が変わるなどの目に見える異常は発生しない。しかし、WordPressのプレビュー機能とテーマ側の別の脆弱性を組み合わせることで、サーバー上でのコード実行が可能になることが示された。
WordPressには外観をプレビューしながら調整できる「カスタマイザー」機能が備わっており、このプレビューを生成する処理の過程で、テーマが有効化されていなくても内部のPHPコードが読み込まれる仕様が存在する。
研究チームが実証実験で使用した「Mobile Repair Zone」というテーマには、リクエストから指定されたWebアドレスを取得し、パッケージをダウンロードしてそのコードを実行するというバックグラウンド処理が含まれていた。この処理には訪問者の権限チェックやセキュリティトークンの検証が存在しなかったため、強制インストールとプレビュー読み込みを連続して発生させることで、攻撃者が指定した任意のコードをサーバー上で実行させる連鎖（攻撃チェーン）が成立したという。
深刻度の評価と影響を受けるバージョン
pwn.aiの研究チームは、強制インストールを引き起こすコア脆弱性単体の深刻度について、CVSS（共通脆弱性評価システム：脆弱性の深刻度を0から10の数値で表す指標）の基本スコアを「7.1（高/High）」と評価した。さらに、テーマ側の不備と連鎖させてコード実行まで至る一連の攻撃チェーン全体については「9.6（緊急/Critical）」と評価している。
WordPress側は独自の深刻度スコアを公表していないものの、リリースノートの中で「特別に細工されたURLにより、WordPress.orgから非アクティブなテーマが自動的にインストールおよびプレビューされる可能性がある」と事象を説明している。現時点でCVE識別番号は割り当てられていないが、pwn.aiによると今後付与される見込みだという。
この脆弱性は、WordPress 6.0から修正直前のバージョンまでに存在することが確認されている。なお、現時点でこの脆弱性が実際の攻撃で悪用された形跡は確認されていない。
提供された修正とサイト管理者への影響
開発元は、WordPress 7.1.1のリリースに合わせて、バージョン4.7以降のサポート対象となっている過去の全ブランチに対しても同様の修正パッチをバックポートして提供した。自動更新が有効化されているサイトには順次パッチが自動配信される。
WordPressおよびpwn.aiのいずれからも個別の回避策（ワークアラウンド）は案内されていない。攻撃を成立させるにはログイン状態にある管理者にリンクを踏ませる必要があるが、WordPressコアを修正版へ更新すれば、サイト側でどのようなテーマを使用していても実証された攻撃経路は遮断されるとしている。
近年のコア脆弱性に関する背景
pwn.aiによるWordPressコアの脆弱性報告は今回が初めてではない。2026年8月にも、同社はログイン画面に存在する事前認証XSS（クロスサイトスクリプティング）の脆弱性を報告しており、こちらもコード実行への連鎖が実証されてWordPressによって修正が行われていた。
なお、2026年7月に公表された「wp2shell」と呼ばれる別のWordPressコア脆弱性については、CISA（米サイバーセキュリティ・インフラセキュリティ庁）が悪用確認済み脆弱性として登録しているが、今回のClick2Shellとは技術的な関連性はない。wp2shellはログインやクリックを一切必要としない脆弱性であったのに対し、Click2Shellは管理者のセッションとリンクのクリックを起点とする異なる挙動であることが説明されている。