WordPressに認証不要でコード実行される緊急の脆弱性 即時更新を呼び掛け

[ITmedia]

　WordPressの開発チームは7月17日（米国時間）、深刻な2件の脆弱性を修正したセキュリティリリース「WordPress 7.0.2」を公開した。

　1件は深刻度「Critical」（緊急）と評価された認証不要のリモートコード実行（RCE）の脆弱性（CVE-2026-63030）で、REST APIのバッチ処理エンドポイントを悪用されると、ログインやユーザーの操作なしに攻撃者が任意のコードを実行できる恐れがある。もう1件は「High」（高）と評価されたSQLインジェクションの脆弱性（CVE-2026-60137）で、細工した入力によってデータベースへのクエリを改ざんされる可能性がある。なお、RCEはこのSQLインジェクションに起因しているという。

　影響を受けるのは、RCEがWordPress 6.9以降、SQLインジェクションが6.8以降を使うWebサイトで、6.8より前のバージョンは影響を受けない。修正版としては7.0.2のほか、旧系統向けにもバックポート版が提供されている。6.9.5は両方の脆弱性を、6.8.6はSQLインジェクションのみを、開発中の7.1 Beta 2は両方を修正している。

　WordPressはこの問題を「最も深刻かつ最優先」のクラスと位置付け、影響を受けるバージョンのサイトに対して自動更新（強制アップデート）を有効にした。このため多くのサイトは自動的に更新される見込みだが、開発チームはユーザーに対し、管理画面の「更新」から直ちにアップデートし、修正版が適用されているかを確認するよう強く推奨している。

　RCEを報告したのは、英セキュリティ企業Searchlight Cyberのリサーチャーのアダム・キューズ氏。同社は専用の告知ページを公開し、この脆弱性が事前条件なしに匿名の攻撃者から悪用され得ると説明している。プラグインを導入していない標準的なWordPress環境でも成立するとし、影響の大きさを警告した。また、防御側にパッチ適用の時間を与えるため、技術的な詳細は現時点で公開していないとしている。同ページでは、自サイトが影響を受けるかを確認できるチェッカーや、すぐに更新できない場合の暫定的な緩和策（REST APIの未認証利用の無効化、WAFでの該当パスのブロックなど）も提供している。

　これらの脆弱性は、公開前にWordPressのセキュリティチームから米Cloudflareなどのインフラ事業者に共有されていた。Cloudflareは同日、2件に対応するWAF（Web Application Firewall）ルールを展開し、無料か有料かを問わずCloudflare WAFを経由する全ての顧客を保護すると発表した。ただしCloudflareは、WAFはアップデートまでの露出を減らす一時的な措置に過ぎず、パッチ適用の代替にはならないと強調。脆弱性への最も有効な対策はWordPress本体の更新だとしている。