【KEV】WordPress Core の脆弱性 (CVE-2026-63030)
概要
WordPress Core に 脆弱性 (CVE-2026-63030) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。CISA KEV登録済 — 実環境で悪用が確認されている。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
WordPressの一部バージョンに深刻なセキュリティ問題が見つかりました。この問題は、REST APIの特定の機能に関する誤解を利用し、攻撃者が不正にデータベースにアクセスすることを可能にします。最悪の場合、リモートでサーバーの制御が奪われる可能性があります。あなたのサイトがWordPressを使用している場合は、直ちにセキュリティ更新を行うことが推奨されます。この種の問題は、かつてのSQLインジェクション攻撃と類似の影響をもたらす可能性があります。
WordPress 6.9.xと7.0.xの特定バージョンにおけるREST APIバッチルートの誤解により、SQLインジェクション（CVE-2026-60137）が発生し、遠隔地からのコード実行が可能になる可能性があります。エンドポイントの誤解により、攻撃者はWP_Queryのauthor__not_inパラメータを悪用してSQLインジェクションを引き起こします。修正はバージョン6.9.5および7.0.2で提供されています。影響を受けるバージョンは、WordPress 6.9.0から6.9.4および7.0.0から7.0.1です。すぐにアップデートすることで防ぐことができます。
WordPress CoreのREST APIにおけるエンドポイント混乱問題により、SQLインジェクションを引き起こしリモートコード実行が可能。
WordPress 6.9.0-6.9.4および7.0.0-7.0.1のREST APIバッチエンドポイント。
リモートからの攻撃可能性大、認証不要、被害者操作不要。
WordPressをバージョン6.9.5または7.0.2にアップデートする。
素材から特定できず
素材から特定できず
類似する過去の事例 過去のCVE/インシデントから類似事例を抽出
WordPressのWP_Queryのauthor__not_inパラメータに起因するSQLインジェクション脆弱性。
過去のSQLインジェクション攻撃事例で、攻撃者がデータベースに不正アクセス。
リモートコード実行が可能となる、Log4jに関する深刻な脆弱性。
もし自社で起きたら 業務シナリオごとの想定影響
攻撃者により顧客情報や注文情報が不正アクセスされる可能性。
社内データベースに不正アクセスがあり、重要な営業情報が漏洩する可能性。
サーバーが乗っ取られ、提供中のサービスが停止するリスク。
WordPressの最新版へ直ちにアップデートし、既存のセキュリティ設定を確認すること。
参照URL
- advisory NVD
- patch contact@wpscan.com
- web contact@wpscan.com
- web cisa.gov