CISA KEV 警告 26/07/21：WordPress Core の脆弱性 CVE-2026-60137 を KEV に登録

CISA Warns WordPress Core SQL Injection Vulnerability Is Actively Exploited in Attacks

2026/07/22 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、WordPress Core に存在する深刻な SQL Injection 脆弱性 CVE-2026-60137 を、実環境での積極的な悪用を理由に、Known Exploited Vulnerabilities (KEV) カタログに追加した。

この脆弱性は、データベース・クエリ内の信頼できない入力を、テーマ／プラグインが適切に検証できない場合に WordPress Core 機能に影響を及ぼし、攻撃者による SQL 文の操作を許すものである。CISA は、この問題が WordPress を利用する組織、特にインターネットへ公開されたインスタンスを運用する組織に、深刻なリスクをもたらすと強調している。さらに、他の脆弱性と組み合わせた悪用により、システム全体が侵害される可能性があるとしている。

WordPress Core の脆弱性を警告

KEV アドバイザリによると、今回の脆弱性 CVE-2026-60137 は、WordPress Core に存在する解釈競合 (interpretation conflict) の脆弱性 CVE-2026-63030 と連鎖させることが可能となる。それにより、デフォルト・コンフィグのインストール環境において、認証不要のリモート・コード実行 (RCE) が引き起こされる可能性がある。

このように、他の脆弱性との連鎖により、単なるデータ窃取にとどまらず、侵害したサーバ上での悪意のコード実行が可能になることから、事態の深刻度が大幅に高まっている。

根本的な問題は、長年にわたり存在する CWE-89 (SQL インジェクション) に分類される脆弱性であり、さまざまなテーマ／プラグインにおける不適切な入力処理の慣行により、現在も問題が発生し続けている。

CISA は 2026年7月21日に、この 2 件の脆弱性を KEV カタログに追加し、迅速な修正対応の必要性を強調した。リスク・ベースでのセキュリティ更新を優先する Binding Operational Directive (BOD) 26-04 に従い、Federal Civilian Executive Branch (FCEB) 機関は、2026年8月4日までにパッチ適用／緩和策の実施が義務付けられている。

CISA は民間組織に対しても、資産の公開状況を包括的に評価し、インターネットへ公開されているシステムを重点的に確認し、ベンダーが提供する緩和ガイダンスに従うよう推奨している。パッチを直ちに適用できない場合には、一時的な緩和策を講じるか、影響を受けるサービスを停止して、露出を最小限に抑えるべきだとしている。

WordPress が企業／政府機関／中小企業で広く利用され、今回の脆弱性が実際に悪用されていることを踏まえると、きわめて憂慮すべき状況にある。このプラットフォームには大規模なプラグイン・エコシステムが存在し、追加の攻撃ベクターを生み出しかねないミスコンフィグが発生しやすいことから、脅威アクターに頻繁に狙われている。

ユーザー入力の安全な処理を、サードパーティ製のテーマ／プラグインに依存することで、攻撃者が悪意の SQL クエリを注入する隙が生じる。その結果として、認証情報の窃取／データベースの改竄／ホスティング環境内でのラテラル・ムーブメントにつながる可能性がある。

悪用の試みは高度に自動化されている可能性が高く、スキャンツールを使用して脆弱な WordPress インストールを大規模に特定していることが、セキュリティ研究者により確認されている。

特定した標的上の SQL インジェクションの脆弱性を悪用する攻撃者は、機密データを抽出した後に、他の脆弱性との連鎖を前提とした、さらなる攻撃の準備を進めることが可能となる。この脆弱性の CISA KEV カタログへの追加が示すのは、実環境での悪用が確認され、セキュリティ担当者が最優先で対処すべき問題になったことである。

ユーザー組織にとって必要なことは、WordPress をパッチ適用済みの最新バージョンへと更新し、テーマ／プラグインの安全なコーディング慣行およびセキュリティ基準を監査することである。それに加えて、悪意の入力パターンを検出／遮断する Web Application Firewall (WAF) の導入が強く推奨される。

さらに、データベース・クエリのログを有効化し、異常な挙動を継続的に監視することで、悪用の試みを早期に検知できる可能性が高まる。脅威アクターが、一般的な Web の脆弱性を継続的に悪用している状況において、積極的なパッチ適用と多層防御によりリスクを低減し、Web インフラの完全性を維持することが不可欠である。

訳者後書：今回の問題の主な原因は、サードパーティ製のテーマやプラグインにおいて、信頼できないユーザー入力に対する不十分な検証にあります。それにより、WordPress Core のデータベースクエリ操作が可能となる、SQL インジェクションの脆弱性 CVE-2026-60137 が発生しました。さらに、WordPress Core 内の解釈競合の脆弱性 CVE-2026-63030 との連鎖により、認証を必要としないリモート・コード実行のリスクが生じています。サードパーティ製品に入力処理を依存している構造が、悪意あるクエリの侵入を許す主な要因となっています。ご利用のチームは、ご注意ください。よろしければ、CISA KEV ページも、ご参照ください。