Trusted Design

CVE-2026-60137 の詳細

CVEの情報

説明:
WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise the author__not_in parameter of WP_Query, which could allow SQL Injection when a plugin or theme passes untrusted input to the parameter.

CVE更新日: 2026-07-17 20:17:27.790000

CVSSバージョン: 3.1

CVSSスコア: 5.9

KEVの情報

KEV更新日: 2026-07-21

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.053230000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-60137に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-60137は、WordPressコアに存在するSQLインジェクションの脆弱性です。この脆弱性は、WP_Queryクラスにおけるauthor__not_inパラメータの不適切なサニタイズ処理に起因します。プラグインやテーマが信頼できない入力をこのパラメータに渡した場合、攻撃者が任意のSQLを注入し、WordPressデータベースから機密データを読み取ることが可能になります。

1.1 影響 単独の脆弱性としては、攻撃者によってWordPressデータベースから任意のテーブルの内容を読み取られる可能性があります。 さらに、CVE-2026-63030（REST APIのバッチエンドポイントにおけるルーティングの混同）と組み合わせることで、「wp2shell」と呼ばれる攻撃チェーンが形成され、認証されていない攻撃者がリモートでコードを実行し、WordPressの管理者アカウントを偽装して完全なシェルアクセスを得ることが可能になります。

1.2 深刻度 Tenable®によると、単独でのCVSSv2スコアは5.4（Medium）、CVSSv3.1スコアは9.1（Critical）と評価されています。 この脆弱性はCISAの既知の悪用されている脆弱性（Known Exploited Vulnerabilities）カタログに追加されており、活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン OS固有の脆弱性ではなく、WordPressのバージョンが影響を受けます。具体的には以下のWordPressバージョンが影響を受けます。 * WordPress 6.8.x (6.8.6未満) * WordPress 6.9.x (6.9.5未満) * WordPress 7.0.x (7.0.2未満)

2.2 影響を受ける設定 WordPressのコア機能であるWP_Queryクラスのauthor__not_in引数の処理に脆弱性が存在します。プラグインやテーマがHTTPリクエストデータをWP_Queryの引数に直接渡す際に、信頼できない入力が不適切にサニタイズされることで脆弱性が悪用されます。 wp2shell攻撃チェーンの一部として利用される場合、デフォルトのWordPressインストールで、プラグインや特別な設定なしに、認証なしで悪用可能です。

3. 影響を受けた時の兆候

  • WordPressデータベースからの機密情報の流出（SQLインジェクションによる）。
  • 攻撃者がauthor_excludeなどのパラメータにペイロードを含むHTTPリクエストを送信する。
  • CVE-2026-63030と連携して悪用された場合、管理者アカウントの偽装やリモートコード実行が行われる可能性があります。

4. 推奨対策

4.1 本対策 WordPressを以下のバージョンに更新することで、この脆弱性は修正されます。 * WordPress 6.8.6 * WordPress 6.9.5 * WordPress 7.0.2

WordPressの公式リリース情報にて更新の詳細を確認してください。

4.2 暫定回避策（緩和策） * HTTPトラフィックでauthor_excludeパラメータを監視し、異常なパターンがないか確認するための検出ルールを実装することが推奨されます。 * WAF (Web Application Firewall) やアクセス制御を導入することで、攻撃試行を妨害できる可能性があります。 * プラグインやテーマがauthor__not_inパラメータに信頼できない入力を渡すことを避けるように設計を見直すことが重要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る