CISAが警告、WordPressコアのSQLインジェクション脆弱性が実際の攻撃で悪用中

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、実際の攻撃で積極的に悪用されていることを理由に、WordPressコアに存在するSQLインジェクション脆弱性(CVE-2026-60137として追跡)を「悪用が確認された脆弱性」(KEV)カタログに追加しました。

クラウドセキュリティサービス

この脆弱性は、テーマやプラグインがデータベースクエリ内の信頼できない入力を適切に検証しない場合に影響を受けるWordPressのコア機能に関わるもので、攻撃者がSQL文を操作することを可能にします。

CISAは、この問題がWordPressを利用する組織、特にインターネットに公開されたインスタンスを持つ組織にとって重大なリスクであると強調しています。他の脆弱性と組み合わせることで、システム全体の侵害につながる恐れがあるためです。

CISAが警告するWordPressコアのSQLインジェクション脆弱性

KEVアドバイザリによると、CVE-2026-60137はWordPressコアの解釈の不整合に起因する脆弱性であるCVE-2026-63030と連鎖させることが可能で、デフォルトのインストール環境において未認証のリモートコード実行(RCE)につながる可能性があります。

この脆弱性を組み合わせられる点が、事態の深刻さを大幅に高めています。攻撃者は単なるデータ窃取にとどまらず、侵害したサーバー上で直接悪意のあるコードを実行できるようになるのです。

根本的な問題はCWE-89(SQLインジェクション)に分類されます。これはさまざまなテーマやプラグインにおける不十分な入力処理の慣行により、長年にわたって問題視され続けてきた脆弱性です。

CISAは2026年7月21日、これら2つの脆弱性をKEVカタログに追加し、早急な対応の必要性を強調しました。連邦文民行政機関(FCEB)は、拘束力のある運用指令(BOD)26-04に従い、2026年8月4日までにパッチ適用または緩和策の実施を義務付けられています。同指令は関連リスクに基づいてセキュリティ更新の優先順位を定めるものです。

同庁はまた、各組織に対し資産の露出状況を包括的に評価し、インターネットに公開されたシステムを重点的に確認した上で、ベンダーが提供する緩和策のガイダンスに従うよう推奨しています。パッチがすぐに利用できない場合は、暫定的な緩和策を検討するか、影響を受けるサービスを一時停止して露出を最小限に抑えるべきだとしています。

WordPressコアの脆弱性が悪用されている事実は特に憂慮すべきものです。同プラットフォームは企業、政府機関、中小企業に至るまで広く利用されているためです。

脅威アクターは、豊富なプラグインエコシステムや頻発する設定ミスが新たな攻撃経路を生み出すことから、WordPressを標的にすることがよくあります。

ユーザー入力を安全に処理する役割をサードパーティ製のテーマやプラグインに依存していることが、攻撃者に悪意のあるSQLクエリを注入する隙を与えており、結果として認証情報の窃取、データベースの改ざん、ホスティング環境内での横展開につながる恐れがあります。

セキュリティ研究者らの観測によると、悪用の試みはおそらく自動化されており、スキャンツールを使って脆弱なWordPressインストール環境を大規模に特定しているとみられます。

特定された後、攻撃者はこのSQLインジェクションの欠陥を悪用して機密データを抽出したり、連鎖する脆弱性を通じたさらなる悪用の準備を進めたりすることができます。この欠陥がCISAのKEVカタログに追加されたことは、実環境での悪用が確認されたことを示しており、セキュリティ担当者にとって優先度の高い課題となっています。

各組織には、WordPressのインストール環境を最新のパッチ適用済みバージョンに更新すること、プラグインやテーマについて安全なコーディング手法が採用されているか監査すること、そして悪意のある入力パターンを検知・遮断するウェブアプリケーションファイアウォール(WAF)を導入することが強く推奨されます。

さらに、データベースのクエリログを有効にし、異常な挙動を監視することで、悪用の試みを早期に検知できるようになります。脅威アクターが一般的なウェブ脆弱性の悪用を続ける中、リスクを低減しウェブインフラの完全性を維持するには、先手を打ったパッチ適用と多層的な防御が不可欠です。

ハッキング&クラッキング

警告:20以上の政府サイトが企業や市民にマルウェアを配信していました。 詳細な攻撃調査はこちら から自組織の露出状況をご確認ください。