注目★★★★★CISA KEV
WordPress 6.8〜7.0 に SQL インジェクション脆弱性、認証なしで RCE 可能
30秒で把握
- 1WordPress の author__not_in パラメータに SQL インジェクション脆弱性・認証なし RCE 可能
- 2CISA 既知悪用リスト登録・修正期限 2026 年 8 月 4 日・6.8.6/6.9.5/7.0.2 以上推奨
- 3プラグイン・テーマの入力検証強化・インターネット公開サイトは優先対応・関連 CVE-2026-63030 も併せて確認
要約
WordPress Core の author__not_in パラメータに SQL インジェクション脆弱性 (CVE-2026-60137) が存在し、プラグインやテーマが信頼できない入力をこのパラメータに渡すと悪用される。CVE-2026-63030 と組み合わせることで、認証なしの攻撃者がデフォルト構成の WordPress で遠隔コード実行 (RCE) を実現できる。影響を受けるのは WordPress 6.8.6 未満、6.9.5 未満、7.0.2 未満。
あなたへの影響
WordPress を運用するチームは 7 月中に 6.8.6・6.9.5・7.0.2 以上への更新を完了し、特にプラグイン・テーマの入力検証を監査する必要がある。
推奨：CVE-2026-63030 との組み合わせで確実な RCE 達成が可能なため、インターネット公開サイトは優先度最高。