CVE-2026-60137

CVE-2026-63030 / CVE-2026-60137 — WordPressコアの未認証SQLi→RCE（解説と対応策）

WordPressコアのREST APIバッチエンドポイントのルート混同（CVE-2026-63030・CWE-436）が、WP_Queryのauthor__not_inのSQLインジェクション（CVE-2026-60137・CWE-89）と連鎖し、未認証のSQLi→RCEに至り得る（CVSS 9.8・KEV掲載）。両者は同一リリースで修正済み。本命の対応は『6.8.6 / 6.9.5 / 7.0.2 以降へ更新』＋侵害確認。WordPressはコア＝影響範囲が極めて広く、更新が最優先。