Trusted Design

CVE-2026-63030 の詳細

CVEの情報

説明:
WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route confusion issue which, combined with the author__not_in WP_Query SQL Injection (CVE-2026-60137), could allow an attacker to perform SQL Injection and achieve Remote Code Execution.

CVE更新日: 2026-07-17 20:17:28.490000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-07-21

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.106490000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-63030は、WordPressのREST APIバッチエンドポイントにおける重大なルート混同の脆弱性であり、CVE-2026-60137（SQLインジェクション）と組み合わせることで、認証なしにリモートコード実行（RCE）を可能にするものです。この脆弱性は「wp2shell」と総称されています。

1. 脆弱性の概要

CVE-2026-63030は、WordPressコアに存在するルート混同の脆弱性です。REST APIの/batch/v1エンドポイントが、ネストされたルートリクエストの解析とディスパッチを異なる方法で行うために発生します。これにより、バッチハンドラーと個々のルートハンドラーが同じリクエストを異なる方法で解釈し、解釈の競合（CWE-436）を引き起こします。 この脆弱性は、単独ではコード実行を可能にしませんが、WordPressのWP_Queryにおけるauthor__not_inパラメーターのSQLインジェクション脆弱性（CVE-2026-60137）と組み合わせることで、認証されていない攻撃者が任意のSQLを実行し、基盤となるホスト上でリモートコード実行を達成できます。

1.1 影響

  • 認証されていないリモートコード実行 (RCE): 認証されていない攻撃者がWordPressサイトおよびその基盤となるホスト上で任意のコードを実行し、完全に侵害する可能性があります。
  • データ窃取・改ざん: データベースからの機密情報の抽出（顧客データ、パスワードハッシュなど）、ウェブサイトの改ざん、隠されたバックドアの設置、スパムやマルウェアへのリダイレクトが行われる可能性があります。
  • 管理者権限の奪取: SQLインジェクションを利用して管理者アカウントを偽造し、特権アカウントをプロビジョニングすることで、管理者コンテキストを奪取することが可能です。

1.2 深刻度

  • クリティカル (Critical)
  • CVSSスコア: NVDでの採点は保留中ですが、WPScanでは9.8（Critical）、CISA ADPでは7.5（High）と評価されています。
  • CISAは、この脆弱性を「既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities catalog）」に追加しており、インターネットに公開されているWordPressサイトに対して活発な悪用が確認されています。

2. 対象となる環境

この脆弱性は、WordPressのコア部分に存在し、プラグインやテーマに依存しません。

2.1 影響を受けるOSバージョン

この脆弱性はOSバージョンではなく、以下のWordPressのバージョンに影響を与えます。 * WordPress 6.9.x (6.9.5より前のバージョン) * WordPress 7.0.x (7.0.2より前のバージョン) * 部分的に脆弱（SQLインジェクションのみ）: WordPress 6.8.0 から 6.8.5。これらのバージョンはCVE-2026-60137のみに影響を受けます。

2.2 影響を受ける設定

  • REST APIを公開しているセルフホスト型およびマネージド型のWordPress展開。
  • デフォルト設定のWordPressインストールで、プラグインや特別な設定は必要ありません。
  • 永続オブジェクトキャッシュを使用していない場合に、脆弱なパスに到達可能です。

3. 影響を受けた時の兆候

  • ウェブサーバー上でウェブシェル（バックドアプログラム）が発見される。
  • 管理者のパスワードハッシュを含むデータベースやファイルシステムの予期せぬ変更。
  • サイトの改ざん、不正なコンテンツの表示、スパムやマルウェアへのリダイレクト。
  • HTTPトラフィック内でauthor_excludeパラメータに不正な値やSQLインジェクションパターン（例：SLEEP()ステートメント）が見られる。
  • 監査ログに、認証されていないユーザーからの異常なREST APIバッチリクエストが記録されている。

4. 推奨対策

4.1 本対策

  • WordPressのバージョンアップ: 脆弱性が修正された以下のバージョンに直ちにアップグレードしてください。
    • WordPress 6.9.5
    • WordPress 7.0.2
  • WordPressのメンテナンス担当者は、自動更新が有効になっている影響を受けるインストールに対して強制的な更新を有効にしていますが、管理者は各インターネットに公開されているWordPressウェブサイトが正常に更新されたことを確認する必要があります。

4.2 暫定回避策（緩和策）

  • 認証情報のローテーション: パッチ適用後、wp-config.phpで定義されているすべての管理者パスワード、アプリケーションパスワード、およびシークレットキーをローテーションしてください。
  • WAFによるブロック: Web Application Firewall (WAF) で/wp-json/batch/v1エンドポイント（または?rest_route=/batch/v1）へのアクセスをブロックしてください。
  • REST APIアクセスの無効化: プラグインを使用して匿名ユーザーからのREST APIアクセスを無効にすることを検討してください。
  • SQLインジェクション保護の強化: WAFでSQLインジェクション保護が有効になっていることを確認してください。
  • 永続オブジェクトキャッシュの使用: 永続オブジェクトキャッシュを使用することで、脆弱なコードパスへの到達を防ぐことができます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る