WordPressの開発チームは2026年7月17日（米国時間）、深刻なセキュリティ脆弱性2件を修正した「WordPress 7.0.2」を公開した。同バージョンでは、認証不要でリモートコード実行（RCE）を可能にする重大な脆弱性（CVE-2026-63030）と、SQLインジェクションの脆弱性（CVE-2026-60137）が修正されている。
認証不要のRCE脆弱性、Critical評価
1件目の脆弱性は、深刻度「Critical（緊急）」と評価された認証不要のリモートコード実行（RCE）脆弱性（CVE-2026-63030）である。REST APIのバッチ処理エンドポイントを悪用されることで、攻撃者がログインやユーザーの操作なしに任意のコードを実行できる可能性がある。もう1件は「High（高）」と評価されたSQLインジェクションの脆弱性（CVE-2026-60137）で、細工された入力によってデータベースへのクエリが改ざんされるおそれがある。なお、RCEはこのSQLインジェクションに起因しているという。
影響を受けるのは、RCEがWordPress 6.9以降、SQLインジェクションが6.8以降を使用するWebサイトで、6.8より前のバージョンは影響を受けない。修正版としては7.0.2のほか、旧系統向けにもバックポート版が提供されている。6.9.5は両方の脆弱性を、6.8.6はSQLインジェクションのみを、開発中の7.1 Beta 2は両方を修正している。
自動更新が有効化、即時アップデートを推奨
WordPressはこの問題を「最も深刻かつ最優先」のクラスと位置付け、影響を受けるバージョンのサイトに対して自動更新（強制アップデート）を有効にした。このため多くのサイトは自動的に更新される見込みだが、開発チームはユーザーに対し、管理画面の「更新」から直接アップデートし、修正版が適用されているかを確認するよう強く推奨している。
RCEを報告したのは、英セキュリティ企業Searchlight Cyberの研究者であるアダム・キューズ氏。同社は専門の告知ページを公開し、この脆弱性が事前条件なしに匿名の攻撃者から悪用され得ると説明している。プラグインを導入していない標準的なWordPress環境でも成立するとし、影響の大きさを警告した。また、防御側にパッチ適用の時間を与えるため、技術的な詳細は現時点で公開していないとしている。同ページでは、自サイトが影響を受けるかを確認できるチェッカーや、すぐに更新できない場合の緩和策（REST APIの未認証利用の無効化、WAFでの該当パスのブロックなど）も提案している。
CloudflareがWAFルールを展開
これらの脆弱性は、公開前にWordPressのセキュリティチームから米Cloudflareなどのインフラ事業者に共有されていた。Cloudflareは同日、2件に対応するWAF（Web Application Firewall）ルールを展開し、無料か有料かを問わずCloudflare WAFを経由するすべての接続を保護すると発表した。ただしCloudflareは、WAFはアップデートまでの露頭を減らす一時的な措置に過ぎず、パッチ適用の代替にはならないと強調。脆弱性への最も有効な対策はWordPress本体の更新だとしている。
