[KEV] Vulnérabilité dans WordPress Core (CVE-2026-63030)
Résumé
Vulnérabilité dans WordPress Core (CVE-2026-63030). L'exploitation peut entraîner la prise de contrôle totale du système. Inscrit au CISA KEV — exploitation active confirmée.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-63030 a été découverte dans wordpress.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-63030 » sur le site de l'éditeur.
CVE-2026-63030 (wordpress) — CWE-436 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
WordPress CoreのREST APIにおけるエンドポイント混乱問題により、SQLインジェクションを引き起こしリモートコード実行が可能。
WordPress 6.9.0-6.9.4および7.0.0-7.0.1のREST APIバッチエンドポイント。
リモートからの攻撃可能性大、認証不要、被害者操作不要。
WordPressをバージョン6.9.5または7.0.2にアップデートする。
素材から特定できず
素材から特定できず
Incidents passés similaires Incidents similaires extraits des CVE passées
WordPressのWP_Queryのauthor__not_inパラメータに起因するSQLインジェクション脆弱性。
過去のSQLインジェクション攻撃事例で、攻撃者がデータベースに不正アクセス。
リモートコード実行が可能となる、Log4jに関する深刻な脆弱性。
Si cela arrivait dans votre entreprise Impact attendu selon le scénario métier
攻撃者により顧客情報や注文情報が不正アクセスされる可能性。
社内データベースに不正アクセスがあり、重要な営業情報が漏洩する可能性。
サーバーが乗っ取られ、提供中のサービスが停止するリスク。
WordPressの最新版へ直ちにアップデートし、既存のセキュリティ設定を確認すること。
Références
- advisory NVD
- patch contact@wpscan.com
- web contact@wpscan.com
- web cisa.gov