WordPress、認証不要のコード実行脆弱性を修正　緊急アップデートを呼びかけ

WordPressの開発チームは7月17日（米国時間）、深刻な2件の脆弱性を修正するセキュリティリリース「WordPress 7.0.2」を公開した。このアップデートは、任意のコード実行やデータベース改ざんを引き起こす可能性がある重大な欠陥に対処するもので、全ユーザーに即時適用が求められている。

修正された脆弱性のうち1件は、認証なしでリモートコード実行（RCE）を可能にする「Critical」（緊急）レベルの問題（CVE-2026-63030）。REST APIのバッチ処理エンドポイントを悪用されると、ログインやユーザー操作なしに攻撃者が任意のコードを実行できる危険性がある。もう1件は「High」（高）と評価されたSQLインジェクションの脆弱性（CVE-2026-60137）で、細工した入力によりデータベースクエリの改ざんを許す。WordPressは、RCEはこのSQLインジェクションに起因していると説明している。

影響を受けるのは、RCEについてはWordPress 6.9以降、SQLインジェクションについては6.8以降を利用するWebサイト。6.8より前のバージョンは影響を受けない。修正版として7.0.2のほか、旧系統向けにバックポート版も提供されており、6.9.5は両方の脆弱性を、6.8.6はSQLインジェクションのみを修正。開発中の7.1 Beta 2も両方に対応している。

WordPressはこの問題を「最も深刻かつ最優先」のクラスと位置づけ、影響を受けるバージョンのサイトに対し自動更新（強制アップデート）を有効化した。多くのサイトは自動的に更新される見通しだが、開発チームはユーザーに対し、管理画面の「更新」から直ちにアップデートし、修正版が適用されているか確認するよう強く推奨している。

RCEを報告したのは、英セキュリティ企業Searchlight Cyberのリサーチャー、アダム・キューズ氏。同社は専用の告知ページを公開し、この脆弱性が事前条件なしに匿名の攻撃者から悪用され得ると説明。プラグインを導入していない標準的なWordPress環境でも成立するとして影響の大きさを警告した。また、防御側にパッチ適用の時間を与えるため、技術的な詳細は現時点で公開していない。同ページでは自サイトの影響確認チェッカーや、すぐに更新できない場合の暫定的な緩和策（REST APIの未認証利用の無効化、WAFでの該当パスのブロックなど）も提供している。

これらの脆弱性は公開前にWordPressのセキュリティチームから米Cloudflareなどのインフラ事業者に共有されていた。Cloudflareは同日、2件に対応するWAF（Web Application Firewall）ルールを展開し、無料・有料を問わずCloudflare WAFを経由する全顧客を保護すると発表。ただしCloudflareは、WAFはアップデートまでの露出を減らす一時的な措置に過ぎず、パッチ適用の代替にはならないと強調。脆弱性への最も有効な対策はWordPress本体の更新だとしている。