速報
CVE-2026-63030 / CVE-2026-60137 — WordPressコアの未認証SQLi→RCE（解説と対応策）
CVE-2026-63030は、WordPressコアのREST APIバッチエンドポイントに存在する『ルート混同（route confusion）』の脆弱性です。WP_Queryのauthor__not_inパラメータのSQLインジェクション（CVE-2026-60137）と連鎖することで、認証なしのSQLインジェクションからリモートコード実行（RCE）に至り得ます。CVSSは9.8・実際に悪用中（CISA KEV掲載）。本命の対応（6.8.6 / 6.9.5 / 7.0.2 への更新）と侵害確認を、攻撃手順を伏せて防御目線で解説します。
実際に悪用が確認されている脆弱性（CISA KEV掲載）の速報解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順や実証コード（PoC）は伏せて防御目線でまとめます。
- CVE
- CVE-2026-63030（ルート混同・CWE-436）＋ 連鎖する CVE-2026-60137（SQLi・CWE-89）
- 重大度
- Critical（CVSS 9.8）・実際に悪用中（CISA KEV・是正期限 2026-08-04）
- 種別
- REST APIのルート混同 × author__not_in のSQLインジェクション → 未認証SQLi → RCE
- 影響
- 認証なしでのSQLインジェクション・リモートコード実行（RCE）・データ窃取
- 対象
- WordPress コア 6.8.x / 6.9.x / 7.0.x（各修正版より前）
- 本命の対応
- 6.8.6 / 6.9.5 / 7.0.2 以降へ更新
放置の危険度
認証不要でRCEに至り得るため、公開されているWordPressサイトは無差別スキャンで一斉に狙われます。WordPressはコア（本体）の脆弱性であり、特定プラグインに限らず該当バージョンのサイトすべてが対象になり得ます。CISAは連邦機関に 2026-08-04 までの是正を指示しました。「小さいサイトだから狙われない」は通用しません。
影響範囲
| 項目 | 内容 |
|---|---|
| 対象 | WordPress コア（本体） |
| 影響を受けるバージョン | 6.8.0〜6.8.5（60137）／ 6.9.0〜6.9.4 ／ 7.0.0〜7.0.1 |
| 修正バージョン | 6.8.6 / 6.9.5 / 7.0.2 以降 |
| 前提条件 | 連鎖時は認証不要（unauthenticated） |
| 到達できる影響 | SQLインジェクション → リモートコード実行（RCE）・データ窃取 |
| 状況 | 2件とも実際に悪用中（CISA KEV・是正期限 2026-08-04） |
深刻度の評価差について（両論・確認）
CVE-2026-60137 単体の深刻度は資料で分かれています。WPScanはCVSS 5.9（単体では「プラグイン/テーマが未検証入力を author__not_in に渡した場合」に成立＝到達に前提条件があるとの評価）、一方 CISAはCVSS 9.1 と評価しています。しかし CVE-2026-63030 のルート混同と連鎖すると REST API 経由で直接到達でき、実質的に未認証で悪用可能（CVSS 9.8）です。評価差は「到達性の前提」の見方の違いであり、対応は同一リリースでの更新の一択です。
対応策
コアを 6.8.6 / 6.9.5 / 7.0.2 以降へ更新（最優先・本命）
侵害の有無を確認（更新前に到達された前提で）
更新までの時間稼ぎ（多層防御）
コア・プラグイン・テーマのCVE機械監視
当サイトの視点：入力は『信頼できない』前提で設計する
この脆弱性の芯は、信頼できない入力が、想定外の経路（ルート混同）でクエリに届いたことです。SQLインジェクションは、入力を必ずプレースホルダ（プリペアドステートメント）で扱い、経路や前提に関わらず常にサニタイズ/検証することで型として潰せます。単発の更新は必須ですが、恒久的に効くのは「どの入力も信頼しない」設計と、コア/プラグインのCVEを機械監視して素早く更新する運用です。
次に読む
- 用語：SQLインジェクションとは ／ RCE（リモートコード実行）とは ／ CVE とは
- 実務：脆弱性(CVE)対応の実務（機械監視と迅速な更新）
- 速報一覧：脆弱性速報
よくある質問
QCVE-2026-63030 で何が起きる？
WordPressコアのREST APIバッチエンドポイントで『ルート混同（route confusion）』が起き、WP_Queryのauthor__not_inパラメータのSQLインジェクション（CVE-2026-60137）と組み合わさることで、認証なしの攻撃者がSQLインジェクションを実行し、最終的にリモートコード実行（RCE）に至り得ます。データ窃取・サイト改ざん・管理者アカウントの密造・他システムへの侵入に直結する最悪クラスで、CVSSは9.8、実際に悪用が確認されています（CISA KEV掲載）。
Q一番確実な対応は？
WordPressコアを 6.8.6（6.8系）／6.9.5（6.9系）／7.0.2（7.0系）以降へ更新することです。両CVEはこの同一リリースで修正されています。WordPressはマイナー版の自動更新が既定で有効ですが、自動更新を無効化しているサイトも多いため、実際に稼働しているコアのバージョンを必ず確認してください。更新までの間は、REST APIバッチエンドポイントへの到達制限・WAFを多層で併用します。
QCVE-2026-60137 との関係は？また深刻度が資料で違うのはなぜ？
CVE-2026-60137 は author__not_in パラメータのサニタイズ不備によるSQLインジェクションで、単体では『プラグインやテーマが未検証の入力を渡した場合』に成立します（このためWPScanはCVSS 5.9と評価）。一方でCVE-2026-63030のルート混同と連鎖すると、REST API経由で直接到達でき未認証で悪用可能になり、CVSSは9.8（CISAは60137自体も9.1と評価）。評価の差は『前提条件（到達性）』の見方の違いです。いずれも同一リリースで修正されるため、対応は『コアを更新』の一択です。