- WordPressが2件の脆弱性にパッチを適用：CVE‑2026‑60137（SQLインジェクション、深刻度「中」）およびCVE‑2026‑63030（REST APIバッチルート混同、深刻度「重大」）
- これらの脆弱性を連鎖させることで、未認証のリモートコード実行が可能となり、サイトの完全な乗っ取りにつながる
- 管理者は広範囲に及ぶ実際の攻撃から身を守るため、至急WordPress 6.9.5以降にアップグレードする必要がある
研究者らは、最近パッチが適用された2件の脆弱性が実際に悪用されていることを受け、数百万のWordPressサイトが深刻なリスクにさらされる可能性があると警告しています。
WordPressの開発チームは、SQLインジェクションの脆弱性（CVE-2026-60137）と、REST APIバッチルートの混同に関する脆弱性（CVE-2026-63030）という2件の脆弱性に対するパッチをリリースしました。
前者はWordPress 6.8.x（6.8.6より前）、6.9.x（6.9.5より前）、7.0.x（7.0.2より前）に影響する深刻度「中」（CVSSスコア5.9/10）の脆弱性です。一方、後者は世界で最も普及しているウェブサイト構築プラットフォームのバージョン6.9.x（6.9.5より前）および7.0.x（7.0.2より前）に影響する深刻度「重大」（CVSSスコア9.8/10）の脆弱性です。
悪用が進行中
The Registerによると、これらの脆弱性は個別に見た場合、悪用が比較的難しいためそれほど危険ではないとされています。しかし、両者を連鎖させることで、未認証の攻撃者が悪意あるコードをリモートで実行できるようになり、サイトの完全な乗っ取りにつながる可能性があります。
セキュリティ企業Knottの研究者らによると、脅威アクターはこの脆弱性の存在にかなり早い段階で気づいていたということです。
パッチは金曜日にリリースされましたが、「土曜日の早朝には、すでに悪用が本格化していた。当初は公開されているエクスプロイトコードを使ってハッシュ化された認証情報を窃取する手口だったが、詳細情報がさらに公開されるとリモートコード実行による攻撃が続いた」とKnottは述べています。
「当社のグローバルな顧客基盤全体を見渡すと、あらゆる規模、あらゆる業種の組織にこの脆弱性の影響が広く及んでいることが確認できています」
なお、これらの脆弱性は各種プラグインやテーマではなく、WordPress本体に影響を及ぼす点に注意が必要です。WordPressは世界で圧倒的に最も普及しているウェブサイト構築プラットフォームであり、現存する全ウェブサイトの半数以上を占めています。
自社の資産を守るためには、両方の脆弱性への対策が施されているWordPressバージョン6.9.5への確実なアップグレードが求められます。
