WordPressコアに深刻な脆弱性「CVE-2026-63030」が判明、悪用確認で米CISAが警告
要点
- WordPressの特定バージョンにおいて、REST APIの処理解釈に関する脆弱性「CVE-2026-63030」が確認された。
- 別のSQLインジェクション脆弱性と組み合わせることで、攻撃者がデータベースを操作し、リモートからコードを実行されるリスクがある。
- セキュリティ団体のWPScanは本脆弱性の深刻度スコアを10点満点中「9.8（緊急）」と評価している。
- 米CISAは本脆弱性が実際に悪用されていると認定し、速やかな対応を求めるリストに本件を追加した。
オープンソースのウェブ作成プラットフォーム「WordPress」のコア機能に、深刻な脆弱性「CVE-2026-63030」が存在することが判明した。本脆弱性はREST APIの処理解釈の不具合と別のデータベース関連の脆弱性を組み合わせることで、最悪の場合、リモートから任意のコードを実行される恐れがある。すでに実際の攻撃で悪用されていることが確認されており、米サイバーセキュリティ・インフラセキュリティ庁（CISA）などが2026年7月に注意を呼びかけている。
脆弱性の技術的要因と深刻なリスク
今回確認された「CVE-2026-63030」は、WordPressのREST API（システム間でデータをやり取りする仕様）におけるバッチエンドポイント（複数リクエストをまとめて処理する接続先）の「ルート混乱（route confusion）」と呼ばれる問題に起因する。この問題は、プログラムが処理経路の解釈を誤る現象であり、共通脆弱性タイプ分類において「CWE-436（解釈の不一致）」として分類されている。
このバグ単体でも脅威となるが、WP_Query（データベースから情報を取得する標準クラス）に含まれる別のSQLインジェクション（データベースを不正操作する攻撃）の脆弱性である「CVE-2026-60137」と組み合わさることで危険性が跳ね上がる。具体的には、WP_Queryの「authornot_in」機能の不具合と今回のルート混乱を連鎖的に悪用されることで、攻撃者はデータベースへの不正アクセスを行い、最終的にリモートコード実行（ネットワーク経由で任意のプログラムを実行する行為）を達成する可能性がある。
影響を受けるバージョンと対策
本脆弱性の影響を受けるのは、WordPressの以下のバージョンである。
- バージョン6.9系統：6.9.5未満のバージョン
- バージョン7.0系統：7.0.2未満のバージョン
これらに対し、開発元からは修正を施した最新バージョン「WordPress 7.0.2」が2026年7月にリリースされており、ユーザーは速やかに安全なバージョンへアップデートすることが推奨されている。
深刻度評価における二つの見解
深刻度を示すCVSS（脆弱性の深刻度を評価するシステム）の評価は、組織によって数値が分かれている。
報告元のWPScanは、CVSSバージョン3.1のベーススコアを「9.8」とし、最も高い「CRITICAL（緊急）」と評価した。同団体の評価ベクトル（深刻度の内訳）は「AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」で、ネットワーク経由で認証不要で攻撃可能であり、システムの機密性・完全性・可用性のすべてに重大な影響を与えるとしている。
一方でCISA-ADPは、ベーススコアを「7.5」の「HIGH（高）」と評価した。こちらの評価ベクトル「AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N」が示す通り、影響範囲は機密性の侵害のみで、改ざんやシステム停止のリスクはないとしている。なお、米国立標準技術研究所（NIST）による独自の評価結果は現時点では提供されていない。
実際の悪用確認と米政府の緊急指令
本脆弱性は、すでに実際の攻撃で悪用されている。CISAの意思決定システム（SSVC）の記録によると、2026年7月17日時点では悪用の形跡は「なし」とされていたが、7月21日の更新で「アクティブ（実際に悪用されている）」へと引き上げられた。
これを受け、CISAは同日、本脆弱性を「既知 of 悪用された脆弱性（KEV）カタログ（実際に攻撃への悪用が確認された脆弱性のリスト）」に追加し、民間連邦機関等に対して速やかな対策を命令した。対策の期限は2026年7月24日と非常に短期間に設定されている。管理者は速やかにベンダーの指示に沿った修正を適用するか、対策が困難な場合は製品の使用を停止することが求められている。
登録から悪用認定までの経緯
本脆弱性は2026年7月17日にWPScanから新規登録され、翌18日に深刻度評価が追加された。その後、7月21日にCISAによる悪用認定とカタログ追加、NISTによる初期分析情報の追加が急速に進められた。