AIが候補を出し、人が理解・報告し、WordPressが修正した
Searchlight CyberのAdam Kues氏は、GPT-5.6 Sol Ultraを研究に使い、WordPress Coreの2件の欠陥を連鎖させる問題を発見しました。 同氏はWordPressへ報告し、WordPress.orgは2026年7月17日に修正版を公開しました。
この記事は防御と更新判断のための解説です。 攻撃用リクエスト、SQL文、認証回避、コード実行の再現手順は掲載しません。脆弱性の検証は所有者の許可を得た隔離環境で行い、発見時はベンダーの責任ある開示手順を使います。
wp2shellは2件の欠陥が重なる攻撃チェーン
CVE-2026-60137WP_Queryの入力処理に関するSQLインジェクション。6.8系以降の修正対象です。
CVE-2026-63030REST APIのバッチ処理で、検証対象と実行対象がずれる問題。6.9系以降が対象です。
連鎖時の影響認証なしで重大な操作へ至る可能性があるため、WordPressは即時更新を推奨しています。
GPT-5.6の貢献と、人間が担った部分を分ける
| 段階 | AIが支援できること | 人が担うこと |
|---|---|---|
| 探索 | 広いコード範囲から異常な経路や組み合わせを候補化 | 対象範囲、権限、停止条件を設定 |
| 検証 | 仮説を反復し、関連箇所を比較 | 隔離環境で再現性と実際の影響を確認 |
| 理解 | 長い処理経路を整理 | 誤検知を除き、根本原因と修正範囲を判断 |
| 開示 | 報告書の下書きを支援 | ベンダーへ非公開で報告し、公開時期を調整 |
AI時代の脆弱性研究で守る5つの境界
- 自分が所有するか、明示的に許可された環境だけを対象にする。
- 本番サイトや第三者データへ到達しない隔離環境を使う。
- AIへ認証情報や実ユーザーデータを渡さない。
- 発見内容を先にベンダーへ報告し、修正版の準備を待つ。
- 公開記事は防御に必要な情報を優先し、悪用を容易にする詳細を抑える。
WordPressが案内した修正版
| 系列 | 修正版 | 公式説明 |
|---|---|---|
| 7.0系 | 7.0.2 | 2件とも修正 |
| 6.9系 | 6.9.5 | 2件とも修正 |
| 6.8系 | 6.8.6 | CVE-2026-60137を修正 |
| 6.8未満 | 対象外 | 今回の2件については影響なし |
自動更新へ任せきりにせず、管理画面またはCLIで実際のバージョンを確認してください。 更新前後のバックアップと、更新後の動作確認も必要です。
確認した一次情報・技術情報
よくある質問
GPT-5.6を使えば誰でも同じ脆弱性を発見できますか？
いいえ。研究者の専門知識、対象環境、長時間の検証、結果の理解、責任ある開示が必要です。
wp2shellの検証コードを実行してよいですか？
所有権や明示的な許可のないサイトでは実行してはいけません。運営サイトはバージョン確認と公式更新を優先します。
AIの発見なら自動で公開してよいですか？
公開前に人が再現性と影響を確認し、ベンダーへ非公開で報告して修正期間を確保します。