WordPressは2026年7月17日、REST APIのバッチルート混同とSQLインジェクションによってリモートコード実行につながるCVE-2026-63030、および別のSQLインジェクションであるCVE-2026-60137への修正を公表しました。旧記事の『匿名リクエスト1件』『24時間以内のPoC件数』は、ここで参照する公式情報から確認できないため撤回しました。
今すぐ行う対策
- ✓6.9系は6.9.5、7.0系は7.0.2以上の対応する修正版へ更新する
- ✓6.8系は別のSQLインジェクション修正を含む6.8.6以上へ更新する
- ✓自動更新の設定だけで判断せず、実行中の版と更新完了を確認する
- ✓不審な管理者、ファイル変更、アクセスログを確認する
脆弱性の概要と影響範囲
CVE-2026-63030は6.9.0～6.9.4と7.0.0～7.0.1に影響し、6.9.5と7.0.2で修正されています。CVE-2026-60137はWP_Queryのauthor__not_inに信頼できない入力が渡る場合のSQLインジェクションで、6.8.0～6.8.5にも影響します。6.8系が両方の欠陥に影響するわけではありません。公式発表は7.1ベータ版の修正をbeta2とし、6.8より前は今回の2件には影響しないと説明しています。これは古い版の安全性全般を保証しません。
CVE-2026-63030の表示値はWPScan CNAのCVSS v3.1基本値9.8 CRITICALです。深刻度の評価と、実際の悪用を観測したかどうかは別です。公式リリースは重大性から自動更新を強制する措置を案内していますが、それを被害発生の証拠と扱わないでください。
具体的な影響・攻撃シナリオ
REST APIの経路判定の不具合とSQLインジェクションの組み合わせは、サイト上での任意コード実行につながり得ます。侵害時にはコンテンツ改ざんや情報窃取などを調べる必要があります。CVE-2026-60137単独については、テーマやプラグインがWP_Queryへ不適切に入力を渡す条件が公式アドバイザリに示されています。2件の条件を混同しないでください。
対応手順と確認方法
ファイルとデータベースをバックアップし、利用中の系列に対応する修正版へ更新してください。導入済みプラグインとテーマの動作も確認します。更新は既存の侵害を解消する作業ではないため、不審な管理者や改変が見つかった場合はログを保存し、ホスティング事業者と侵害対応を進めてください。
旧記事のNginx設定例はWordPress公式の回避策として裏付けられず、撤回しました。REST APIには複数の到達経路があり、推測したパスを遮断するだけでは対策完了と判断できません。更新できない場合はホスティング事業者に相談し、サービス停止を含めた暫定対応を判断してください。
📦