CVEノート

最近の脆弱性 › CVE-2026-60137

WordPress Core のSQLインジェクションの脆弱性（CVE-2026-60137）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2026-60137
製品WordPress Core
深刻度（CVSS）5.9 警告CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2026-07-21
米国政府機関の対応期限2026-08-04
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-89

何が起きた

ウェブサイトを作るソフト WordPress の本体に、データベースへの命令を紛れ込まされる弱点（SQL インジェクション）が見つかり、実際に悪用が確認されています。記事を探す仕組み WP_Query の author__not_in という値を正しく無害にしていませんでした。そのため、プラグインやテーマが信頼できない入力をこの値に渡すと、SQL インジェクションが起きるおそれがあります。CISA は、6.9 以降の WordPress では CVE-2026-63030 と組み合わせると、ログインしていない攻撃者に、初期設定の WordPress で遠隔からコードを実行されるおそれがあると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がプラグインなどを通じて細工した値を送る → 2. author__not_inにSQLが紛れ込む → 3. データベースへの命令を実行される1攻撃者がプラグインなどを通じて細工した値を送る2author__not_inにSQLが紛れ込む3データベースへの命令を実行される攻撃の流れ: 1. 攻撃者がプラグインなどを通じて細工した値を送る → 2. author__not_inにSQLが紛れ込む → 3. データベースへの命令を実行される1攻撃者がプラグインなどを通じて細工した値を送る2author__not_inにSQLが紛れ込む3データベースへの命令を実行される

誰が影響を受ける

WordPress の 6.8 系の 6.8.6 より前、6.9 系の 6.9.5 より前、7.0 系の 7.0.2 より前、7.1 のベータ版を使っているサイトが影響を受けます。6.8 より前の版は影響を受けません。

何をすればいい

WordPress を、使っている系列に合わせて 6.8.6、6.9.5、7.0.2 以降に更新してください。WordPress.org は対象のサイトに自動更新を強制で配信していますが、自動更新が働かない環境では、ダッシュボードの「更新」から手動で更新してください。

やることチェックリスト

用語メモ

WP_Query
WordPress で、条件に合う記事をデータベースから探すための仕組みです。
SQL インジェクション
入力などから不正なデータベースへの命令を紛れ込ませる攻撃のことです。

元データ（英語・CISA KEV より）

WordPress Core SQL Injection Vulnerability

概要

WordPress Core contains a SQL injection vulnerability when a plugin or theme passes untrusted input to the parameter. This vulnerability can be chained with CVE-2026-63030 to allow an unauthenticated attacker to gain remote code execution on default WordPress installations.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

公式情報