去る2026年7月17日（我が国開始で7月18日夜明け）、 WordPress セキュリティチーム WordPress コアの脆弱性を2つ解決しました WordPress 7.0.2 セキュリティアップデートを緊急展開しました。今回発見された脆弱性は単なる情報漏洩レベルではなく、 認証なしでサーバーのコードをリモートで実行する致命的な脆弱性連携攻撃が可能なレベルで、CVSS 9.8と評価された非常に深刻な脆弱性です。
発見されたセキュリティ脆弱性の2つ
このアップデートで修正された脆弱性は CVE-2026-60137과 CVE-2026-63030 二つです。 2つの脆弱性を結び付けると、認証されていない攻撃者もサーバー上で任意のコードをリモートで実行できるため、注意が必要です。
以下は WordPress セキュリティ会社Wordfenceが公開したセキュリティ勧告 "PSA： WordPress Core Patched Unauthenticated Remote Code Execution Vulnerability Chain" を元にまとめました。
① CVE-2026-60137 — 非認証 SQL インジェクション (CVSS 7.5 / High)
影響を受ける WordPress バージョン：6.8〜7.0.1
投稿クエリパラメータであるauthor__not_inの入力値エスケープ処理とSQLクエリの事前準備が不十分であるため、認証されていない攻撃者は既存のクエリに任意のSQL構文を追加挿入できます。これを通して WordPress データベースに保存されているユーザーアカウント情報、電子メール、パスワードハッシュなどの機密データを奪取できます。
発見者: Tin Pham (TF1T), Trong Pham (dtro), haongo
② CVE-2026-63030 — REST APIによるリモートコード実行(CVSS 9.8/致命的)
影響を受ける WordPress バージョン：6.9〜7.0.1
REST APIデプロイメント要求エンドポイント（/wp-json/batch/v1）で、ルート検証ロジックと実際のディスパッチロジックとの間に矛盾が発生します。これにより、攻撃者が検証に合格した要求を意図しないコールバック関数にバイパスし、allow_batchの制限と入力値の検証までバイパスしてサーバー上で任意のコードを実行する可能性があります。特に、上記のSQLインジェクションの脆弱性と連携すると、攻撃効果が最大化されます。
発見者: Adam Kues
脆弱性の影響を受ける危険なバージョン
| 使用中のバージョン | 危険かどうか | パッチバージョン |
|---|---|---|
| 6.8.x | SQLインジェクションリスク | 6.8.6 |
| 6.9.x | どちらの脆弱性もリスク | 6.9.5 |
| 7.0.0〜7.0.1 | どちらの脆弱性もリスク | 7.0.2 |
| 7.0.2/6.9.5/6.8.6以降 | 安全 | - |
今すぐ最新バージョンにアップデートしてください
WordPress セキュリティチームは、脆弱なバージョンを使用しているサイトの自動更新を開始しました。ただし、自動更新が必ず成功するという保証はありませんので、 WordPress 管理者ページに直接アクセスして、現在のバージョンがパッチバージョンに更新されたことをすぐに確認しますすることをお勧めします。
- WordPress 管理ページ→ 通知パネル→アップデート メニューから現在インストールされているバージョンを確認する
- 脆弱性がパッチ適用されたバージョン（6.8.6 / 6.9.5 / 7.0.2）より低いバージョンの場合は、すぐに手動アップデートを進める
- アップデート前 フルバックアップを実行しても安全です。
ほとんどのサイトが自動更新になったはずです。旧バージョンを使用している場合は、バックアップした後に最新バージョンにアップデートしてください。 （2026年7月21日現在の最新バージョンは 7.0.2です。）
WordPress サイトを安全に運営する方法
メディアを通じて時々 WordPress セキュリティの脆弱性のニュースが伝わると WordPressがセキュリティに弱いという認識を持つことができます。
事実 WordPress それ自体はセキュリティが強い方です。具体的には、セキュリティの脆弱性が見つかると、脆弱性がすぐに修正されたアップデートがリリースされます。
ただし、更新を怠った場合やセキュリティ慣行に従わない場合は、サイトにマルウェアが感染したりハッキングされたりする可能性があります。
次の措置がセキュリティの強化に役立ちます。
- WordPress コア、テーマ、プラグインを常に最新バージョンに更新
- 長い間更新されないテーマやプラグインを使用する
- セキュリティプラグインのインストール
- 定期的なバックアップ
サーバーレベルでのセキュリティも重要です。サーバーレベルでセキュリティが低下した場合、Wordfenceなど WordPress セキュリティプラグインのインストールを検討することができます。
この WordPress ブログは現在、 クラウドウェイズでホストされています。クラウドウェイズは強力なサーバーファイアウォールを提供しており、マルウェア保護機能を介して定期的にサイトをスキャンし、サイトにマルウェアがある場合は警告メールを送信します。
ディドス攻撃の脅威があれば クラウドフレア(Cloudflare)に加入して対応できます。このブログは、2024年8月から9月の間に1ヶ月間、激しいディドス攻撃を受けたことがあります。ディドス攻撃が始まると、CloudflareからUnder Attackモードに移行し、クラウドウェイズで攻撃IPを把握して防御することでやっと防げました。
コメントを残す