WordPressにSQLインジェクションの脆弱性「CVE-2026-60137」が発覚、CISAが悪用を確認し警告

要点

• WordPressのコアシステムに、データベースの不正操作に繋がるSQLインジェクションの脆弱性（CVE-2026-60137）が発見された。

• 影響を受けるのはWordPressのバージョン6.8.x、6.9.x、および7.0.xの特定バージョン未満であり、修正パッチが適用された最新版の導入が推奨される。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性が実際に悪用されていることを確認し、即時の対策を求める警告を出した。

• 脆弱性の危険度スコアについて、WPScanは「5.9」の中程度とする一方、CISA-ADPは最大「9.1」の重大な脅威として評価しており、判断に差異がある。

• 人気の高いコンテンツ管理システム（CMS：ウェブサイトを構築・管理するためのソフトウェア）である「WordPress（ワードプレス）」の基盤となるプログラム（コア）において、データベースを不正に操作される危険性のあるSQLインジェクションの脆弱性が存在することが明らかになった。この問題は2026年7月に公表され、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は同月、この脆弱性を突いた実際の攻撃活動を確認したと発表した。CISAは対策の優先度が高い脆弱性として指定し、利用者に対して速やかなプログラムの修正を求めている。

脆弱性の概要と対象となるバージョン

今回公表された脆弱性は「CVE-2026-60137」として管理されている。問題の原因は、WordPressでデータベースから特定の投稿データを取得する際に使われる仕組みである「WP_Query」クラス（プログラムの共通処理単位）にある。この中の「authornot_in」というパラメータ（設定値）の処理において、入力されたデータを無害な形式に変換する「サニタイズ」が適切に行われていなかったという。

これにより、WordPress上で動作するプラグインやテーマが、外部から入力された信頼できないデータをこのパラメータへそのまま渡してしまった場合、悪意ある第三者によってデータベースに不正な指令が送り込まれる「SQLインジェクション」が実行される恐れがある。SQLインジェクションとは、データベースに対して不正な問い合わせを行うことで、情報の漏洩や改ざんを引き起こすサイバー攻撃の手法である。

影響を受けることが確認されているWordPressの構成は以下の通りである。

• WordPress 6.8.x（バージョン6.8.6未満）
• WordPress 6.9.x（バージョン6.9.5未満）
• WordPress 7.0.x（バージョン7.0.2未満）

すでに開発元からはこれらの問題を解消したバージョン（6.8.6、6.9.5、7.0.2など）がリリースされており、ユーザーに対してアップデートが呼びかけられている。

深刻度評価の分かれ方

この脆弱性の危険性を示す指標である「CVSS（共通脆弱性評価システム：脆弱性の深刻度を0から10の数値で表す基準）」のスコア評価については、分析を行った機関の間で評価にばらつきが見られる。

WordPress関連のセキュリティ情報を発信する「WPScan」による初期分析では、スコアを「5.9（警告/Medium）」と算出している。この評価では、攻撃の実行には特定の難易度が伴い、影響も限定的な範囲にとどまると見なされていた。

一方で、CISA傘下の分析組織である「CISA-ADP」は、同じ脆弱性に対して「9.1（緊急/Critical）」という非常に高い危険度を設定している。CISA-ADPの分析では、攻撃の実行難易度が低く、かつシステム内のデータの漏洩や破壊などに対して極めて大きな被害を及ぼす可能性があると警告している。なお、米国政府の標準技術研究所（NIST）が運営する「NVD（国家脆弱性データベース）」による公式なスコア評価は、現時点では未確定（N/A）のままである。

実際の攻撃への悪用とCISAによる指定

この脆弱性において特に警戒すべき点は、すでに実際の攻撃活動への悪用が確認されていることである。

当初、2026年7月17日に公開された分析では、CISAによる分類において実際の悪用を示す項目（exploitation）は「なし（none）」とされていた。しかし、その後の状況変化に伴い、CISAは7月21日にこの分類を「稼働中（active）」に変更した。これは、実際のインターネット環境下において、この脆弱性を悪用したサイバー攻撃が活発に行われていることを示している。

これを受けてCISAは、同日付でこの脆弱性を「悪用が確認されている脆弱性（KEV）カタログ」に追加した。KEVカタログは、サイバー攻撃者によって悪用されていることが明確になった脆弱性をリスト化し、特に対策を急ぐべきものとして広く警告するものである。CISAは今回の脆弱性の対策期限（Due Date）を2026年8月4日に設定しており、期間内にベンダーが提供する指示に従ってアップデートなどの対応を完了させるよう強く要請している。

タイムラインと公開されたアドバイザリ

この脆弱性は、2026年7月17日にWPScanからNVD等に報告され、同日中にCISA-ADPなどによる初期分類と「CWE-89（SQLインジェクション）」への登録が行われた。その後、WordPressの開発チームである「WordPress/wordpress-develop」のGitHubページにおいてセキュリティアドバイザリ（GHSA-fpp7-x2x2-2mjf）が公開され、開発者向けの詳細な仕様変更などが明らかになった。また、一般ユーザー向けには「WordPress 7.0.2」のリリースノートが公開され、脆弱性への対策が進められている。

WordPressは全世界のウェブサイトで極めて広く採用されているため、コアシステムに深刻な脆弱性が存在する場合、非常に多くのサイトが潜在的な標的となる。今回はすでに実際の攻撃事例が確認されていることから、サイト管理者には速やかなバージョン確認と対策が求められる。