CISA(米サイバーセキュリティ・インフラセキュリティ庁)は、WordPress Coreの連鎖する2件の脆弱性CVE-2026-63030とCVE-2026-60137を既知の悪用脆弱性(KEV)カタログに追加しました。これらの欠陥は、デフォルトのWordPressインストール環境において未認証・認証前のリモートコード実行(RCE)を可能にするもので、現在実際に標的とされていると警告しています。
「wp2shell」と呼ばれるCVE-2026-63030は、最新のセキュリティリリース以前のWordPress Core 6.8.x、6.9.x、7.0.xに影響を及ぼす認証前RCE脆弱性です。
この不具合は、REST APIのバッチエンドポイントに対する匿名のPOSTリクエスト一つで到達可能であり、認証情報を持たない攻撃者でも公開サイトのコア機能を操作できてしまいます。
CISAの記載によれば、悪用は概念実証(PoC)の段階をすでに超えており、これを受けて連邦機関には拘束力のある運用指令(BOD)26-04に基づく修正期限の前倒しが求められています。
この脆弱性の根本原因は、WordPress CoreがREST APIのルートを処理する際の解釈の食い違いにあり、CWE-436に分類されるルート混同の状態を引き起こします。
条件がそろうと、この混同状態によって細工されたリクエストが内部のクエリロジックに到達できてしまい、当初のセキュリティモデルが想定していなかった経路が生まれ、攻撃者にとって重大な足がかりとなります。
脆弱なコードはCore自体に存在するため、プラグインやカスタムテーマを一切使用していない「素の」WordPress環境であっても、インターネットに公開されていれば直接悪用される可能性があります。
CVE-2026-60137は、プラグインやテーマが信頼できない入力をCoreのクエリパラメータに渡した際に発生し、攻撃者が背後のSQLクエリを操作できてしまう脆弱性です。
研究者らによると、REST APIのバッチエンドポイントを経由することで攻撃者はこのSQLインジェクションに到達でき、データベースレベルの改ざんからサーバー上での任意のPHPコード実行へとエスカレーションできるとしています。
セキュリティベンダー各社は、この連鎖攻撃によってデフォルトのWordPressサイトに直接、未認証でアクセスできてしまうと説明しており、脆弱なパスワードやプラグインの不具合、多段階のソーシャルエンジニアリングを必要としない点を指摘しています。
ランサムウェアキャンペーンでの実際の悪用はまだ確認されていないものの、CISAがKEVカタログに追加し、修正までの猶予期間を短く設定していることから、日和見的な攻撃者がこのエクスプロイトを大規模スキャンや自動化された侵害に速やかに転用することへの懸念がうかがえます。
BOD 26-04の下では、連邦文民機関は深刻度のラベルではなく悪用の実証状況に基づいてパッチ適用の優先順位を決めなければならず、パッチ適用の前または並行してフォレンジック調査を行い、侵害の有無を評価する必要があります。
CISAはCVE-2026-63030について2026年7月24日、CVE-2026-60137について2026年8月4日という当初の対応期限を設定しており、この連鎖の両端を同時に塞ぐことの緊急性を反映しています。
WordPressは修正済みバージョンの6.8.6、6.9.5、7.0.2をリリース済みで、影響を受ける多くのサイトでは強制的な自動更新が有効になっていますが、CISAは管理者に対し、アップデートが確実に完了しているか必ず確認するよう強調しています。
直ちにパッチを適用できない環境向けの一時的な緩和策としては、Webアプリケーションファイアウォールやロードバランサーで/wp-json/batch/v1および?rest_route=/batch/v1へのリクエストをブロックし、認証前エクスプロイトのトラフィックへの露出を減らす方法が挙げられます。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込め、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/cisa-actively-exploited-wordpress-flaw/
