「WordPress」に複数の脆弱性 - 連鎖でRCEのおそれ

コンテンツマネジメントシステム「WordPress」の開発チームは現地時間2026年7月17日、「同7.0.2」をはじめとするセキュリティリリースを公開した。深刻な脆弱性へ対処しており、早急にアップデートを実施するよう利用者に求めている。

今回のアップデートでは、2件の脆弱性「CVE-2026-63030」「CVE-2026-60137」へ対処した。これら2件の脆弱性を組み合わせることでリモートよりコードを実行することが可能になるという。

「CVE-2026-60137」は、一部関数のパラメータに対する入力検証不備の脆弱性。プラグインやテーマよりわたされた信頼できないデータを処理した際にSQLインジェクションが生じるおそれがある。

一方「CVE-2026-63030」は、「REST API」のバッチエンドポイントにおけるルート解釈の混乱に起因する脆弱性。「CVE-2026-60137」と組み合わせることで、SQLインジェクションによってリモートからのコード実行が可能になるとされる。

「CVE-2026-60137」は「同6.8」ブランチ以降が影響を受けるが、「CVE-2026-63030」については「同6.9」ブランチ以降に存在し、「同6.8」において連鎖的な攻撃は成立しないとされる。

（Security NEXT - 2026/07/21 ）ツイート