WordPressのRCE脆弱性が50万ドルで取引される中、GPT-4oと25ドルでバグを発見してみた話

WordPressのリモートコード実行（RCE）の脆弱性は、エクスプロイトブローカーの間で50万ドルもの高値で取引されています。そんな中、私は最新のGPT-4oを活用し、わずか25ドルのコストで同様の致命的な脆弱性を発見することに成功しました。AIを使えば、セキュリティ研究の常識がここまで変わるという事例です。

驚くべき（そしてたぶん嘘だろうけど）のは、脆弱性情報の買い取り価格が高騰していることだな。WordPressなんて、ブログ機能がおまけで付いてるリモートルートシェルって言われてるし。

面白い考察だね。LLMを活用したエクスプロイトの公開は本当に懸念すべき点だと思う（実際、自分もLinuxのLPEからコンテナブレイクアウトさせるコードをモデルにかなり速く生成させられたし）。ところでGPT-5.6がガードレールでプロンプトを弾かなかったのは驚きだ。自分の経験だと、GPT-5.5以降はオフェンシブ・セキュリティ系の作業（Opus 4.7+やFableと同じような感じ）を嫌う傾向があるから。まあ気づかなかっただけで、著者たちがOpenAIから許可を得てガードレールを少し緩めてもらってる可能性はあるだろうね。

https://github.com/WordPress/WordPress/commit/3a640e1c5e39aa... (https://github.com/WordPress/WordPress/commit/3a640e1c5e39aa60d98bd5a048b603402e70209c) 2026年になってもまだ文字列連結によるSQLインジェクションがあるのかよ。

$50万円も払うような奴らが、自分でGPT-5.6を使って同じことをやるスキルを持ってないなんてことあるか？

最後のあたりで変な名前が出てきてついていけなくなった。なんでIDを片方は「O」にしてもう片方は「0」にしたんだ？なんで「EMBED_01」みたいにしないで一文字なんだ？「ABCDEF」でもいいのに、なんでランダムに見えるアルファベットにしたんだ？OCPDSTって何かの略なのか？

今回のエクスプロイトに50万ドルが支払われた、あるいは支払われるだろうという証拠なんてどこにもないよ。記事ではプロンプトを聖典か何かのように崇めてるみたいだけど、それならいっそそのプロンプトを50万ドルで売ればいいんじゃないか？ちなみに著者はhttps://www.assetnote.io/ で働いてるんだろ。そこは自動スキャンするAI製品を売ってるところだしね。

2020年以前の非AI系SASTツールでも、ここで言及されてるようなSQLインジェクションなら十分検知できる気がするんだけど。それにコードレビューさえあれば見抜けるはずだよね。WordPressはコードレビューやSASTをやってないのか？

「乗り遅れるな」みたいな煽り記事はもうお腹いっぱい。確かに、25ドルで脆弱性を見つけられたかもしれない。でも、それはあんたがこの業界で長年培ってきた、どこを調べればいいか、どうプローブすればいいかといったドメイン知識があってこそだろ。ギャンブルみたいな語り口や、「自分だけが損をしている」という幻想を煽るのはもうやめようぜ。

自分のウェブサイトの一つがこれでハッキングされたよ。幸い、ユーザーは一人もいないサイトだったけど。奴らはこんなことをしてた：

• データベースに管理者アカウントを2つ追加
• プラグインディレクトリ: wp-content/plugins/wp-core にリモートコード実行用のウェブシェル wp-core-[ランダム12文字].php を作成
• mu-pluginsディレクトリに firewall.php バックドアを設置（GET ?sergei で管理者権限を付与）
• cache-seo-helper.php バックドアの設置
• fixer.php でWordPressのバージョン番号をパッチ適用済みバージョンに書き換え
  WordPressを使うのはもうやめることにしたよ。

なら、エクスプロイトの取引価格も下がっていくんじゃないか。25ドルで作れるようなエクスプロイトにそれ以上の大金を払うなんて非効率だし。