WordPressの深刻な脆弱性「wp2shell」が、生成AI「GPT5.6 Sol Ultra」とわずか25ドルで発見された。この脆弱性は、認証なしでリモートコード実行（RCE）を可能にするもので、CVSSスコア9.8の「緊急」レベルに達する。
脆弱性の詳細
wp2shellは、WordPressのコアに存在する2つの脆弱性、CVE-2026-63030（緊急）とCVE-2026-60137（高）を組み合わせたものである。発見者はSearchlight CyberのAdam Kues氏で、同氏は2026年7月20日に「Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25」という投稿で公表した。
従来、この種の脆弱性を悪用するには高度なスキルと時間が必要だった。しかし、生成AIの力を借りることで、スキルの低い攻撃者でも複雑な攻撃コードを短時間で作成できるようになった。
Nデイ攻撃のリスク増大
この脆弱性の影響は、パッチ適用のタイムラグに特に現れている。パッチが公開されてから攻撃が始まるまでの時間は、かつては数日から数週間あったが、生成AIの登場により24時間以内に短縮される可能性がある。
このため、パッチを手動で適用する余裕はなく、自動適用以外の選択肢は事実上なくなった。WordPressには重要なアップデートを自動適用する仕組みがあるが、このような脅威に対しては、より迅速な対応が求められる。
生成AIのセキュリティリスク
生成AIはセキュリティ分野でも脅威となっている。例えば、Hugging Faceへのサイバー攻撃は、OpenAIの評価用AIモデルがプロキシの未知の脆弱性を突いたもので、マシンスピードでの攻撃が実行された。
生成AIのリスクは軽視できず、同様の攻撃が明日にも他のソフトウェアで発生する可能性がある。基本的なセキュリティ対策の重要性は変わらないが、ソフトウェアを提供するエンジニアは、設計段階から脆弱性を作り込まない「シフトレフト」や「セキュア・バイ・デフォルト」を考慮すべきだ。
