WordPressの未認証RCEやSonicWallのゼロデイ悪用など、今週警戒すべきセキュリティ脆弱性のまとめ

要点

• WordPressのコアにおいて、プラグインなしで悪用可能な未認証RCE脆弱性「wp2shell」が判明した。

• SonicWallのVPNアプライアンス「SMA 1000シリーズ」が、公開前にゼロデイ攻撃を受けていたことが明らかになった。

• OpenSSLにおいて、わずか11バイトのデータ送信でサーバーのメモリを枯渇させられるDoS脆弱性が修正された。

• CISAが、悪用が確認されたSharePoint ServerのRCE脆弱性をカタログに追加し、修正を求めた。

• セキュリティ専門メディア「The Hacker News」は2026年7月20日、この1週間に明らかになった重大なサイバーセキュリティの脅威に関する情報を公開した。今週は、小規模な入力からシステム全体の制御を奪われるような深刻な欠陥が複数報告されている。本記事では、WordPress、SonicWall、OpenSSL、SharePointにおける具体的な脆弱性の詳細と影響を伝える。

WordPressコアに潜む未認証RCE脆弱性「wp2shell」

今回の報告の中で最も警戒されているのが、WordPressのコア（基本システム）に存在する「wp2shell」と呼ばれる未認証のリモートコード実行（RCE：外部からプログラムを遠隔実行する攻撃）の脆弱性である。Searchlight Cyberが開示したこの脆弱性は、特別なプラグインなしで標準のWordPressインストール環境において匿名で悪用が可能だという。

これは、REST APIのバッチルート処理に関する混乱を引き起こす脆弱性「CVE-2026-63030」と、コアのSQLインジェクション（データベースを不正操作する手法）の脆弱性「CVE-2026-60137」を組み合わせたものである。攻撃者はこれらを連鎖させることにより、匿名の要求から任意のコード実行が可能になる。

セキュリティ企業watchTowrによると、実証コード（PoC：脆弱性が悪用可能かを示す検証プログラム）はすでに流通しており、実際の悪用の初期兆候も観測されているという。同社CEOのBenjamin Harris氏は「自動パッチが適用されない環境で大きな被害が出る」と警告し、速やかなパッチ適用とバックドア（不正な裏口）の有無の調査を求めている。また同社は、AI支援ツールによって脆弱性が発見・兵器化されている最新例であるとも指摘した。

SonicWall VPN機器を狙ったゼロデイ攻撃

SonicWall製のSecure Mobile Access（SMA）1000シリーズVPNアプライアンスにおいて、公開前のゼロデイ脆弱性（修正パッチが提供される前に悪用される脆弱性）を突いた攻撃が確認された。「UTA0533」と呼ばれる未確認の脅威アクター（攻撃グループ）によるもので、2026年6月22日の公開前から悪用されていた。

この事実は今月初旬のインシデント調査から判明したもので、被害組織は特定されていない。セキュリティ企業Volexityの報告によると、攻撃者は複数のゼロデイ脆弱性や専用マルウェアなどを組み合わせて使用していた。

悪用されたのは、任意コマンド実行を可能にする「CVE-2026-15409」（CVSSスコア10.0）と、デバイスの乗っ取りを可能にする「CVE-2026-15410」（CVSSスコア7.2）である。これらを組み合わせることでデバイスの完全な制御が可能になる。なお、SonicWallは先週パッチをリリース済みである。

11バイトのデータでサーバーを停止させるOpenSSLの脆弱性

暗号通信ライブラリのOpenSSLにおいて、サービス拒否（DoS：サーバーの機能を停止させる攻撃）を引き起こす脆弱性「HollowByte」の詳細が公開された。これはOktaのRed Teamによって発見されたものである。

Oktaによると、未認証の攻撃者がわずか11バイトの悪意あるデータを送信するだけで、ハンドシェイク（通信前の交渉）開始前にサーバーに不釣り合いなメモリ領域を確保させることができるという。このデータによってOpenSSLに最大128KBのヒープメモリを確保させ、これを繰り返すことでサーバーのRAM（メモリ）を枯渇させてDoS状態を誘発する。

この問題は、OpenSSLのバージョン4.0.1、3.6.3、3.5.7、3.4.6、および3.0.21で修正された。Oktaの説明によれば、修正後は受信ヘッダーを盲信せず、実際に届いたデータ量に応じてバッファを拡張する仕様に変更され、無駄なメモリ確保を防げるようになったという。

CISAがSharePointのRCE脆弱性を警告リストに追加

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Microsoft SharePoint Serverに存在するRCE脆弱性「CVE-2026-58644」（CVSSスコア9.8）を、「悪用が確認された脆弱性（KEV）」カタログに追加した。

この脆弱性は、信頼できないデータのデシリアライゼーション（データを復元する処理）に起因するもので、未認証の攻撃者がリモートから任意のコードを実行することを可能にする。CISAは、米国の連邦文民行政機関（FCEB）に対し、2026年7月19日までに修正プログラムを適用することを義務付けた。

補足

今回の一連の報告は、セキュリティ調査やインシデント対応の現場から明らかになった事実に基づいている。いずれの脆弱性もすでに修正プログラムが提供されているため、該当するシステムを運用している場合は早期のアップデートが推奨される。