DocsDigest
Back to listLanguage: JA
OpenAICloudflareJul 17, 2026, 9:30 PM

Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities

A condensed section focused on the key takeaways first.

Original Post
OpenAIClaude

Quick Digest

Summary

A condensed section focused on the key takeaways first.

openaienmodel: gpt-5-mini-2025-08-07

Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities

cloudflarewafwordpressrcesql-injectioncve-2026security

Key Points

  • Unauthenticated RCE (CVE-2026-63030) blocked
  • SQL injection (CVE-2026-60137) blocked
  • WAF rules deployed to all proxied customers

Summary

Cloudflare deployed WAF rules on 2026-07-17T17:03:00Z to protect WordPress sites from two linked high-severity vulnerabilities disclosed prior to public release. The protections block exploit traffic for an SQL injection (CVE-2026-60137) and an unauthenticated remote code execution (CVE-2026-63030). Rules are active for all customers whose traffic is proxied through Cloudflare (free and paid tiers).

Key Points

  • What was deployed
    • Two new WAF rules that block requests associated with the vulnerabilities.
    • Deployed at 17:03 UTC on July 17, 2026.
  • Vulnerabilities
    • CVE-2026-60137 — SQL injection affecting WordPress 6.8 and later (rating: High).
    • CVE-2026-63030 — Unauthenticated RCE via the REST API batch endpoint affecting WordPress 6.9 and later when a persistent object cache is not in use (rating: Critical). Related to the SQLi.
  • Affected versions and fixes
    • SQLi present from 6.8+; fixed in 6.8.6 (SQLi fix only).
    • RCE present from 6.9+; fixed in 6.9.5, 7.0.2, and 7.1 Beta 2.
    • Versions earlier than 6.8 are not affected.
    • WordPress is forcing automatic updates to affected sites, but you should still verify.
  • WAF rule and operational details
    • Managed ruleset IDs: CVE-2026-60137 = 1c060d3a371549219ee290d7ed933fcc (block); CVE-2026-63030 = 7dfb2bd4708d4b88b9911dc0550664b6 (block).
    • Free ruleset IDs: CVE-2026-60137 = db003b39b7774859a8d588ce33697a1a (block); CVE-2026-63030 = ebd3f2df15c74ddcbf6220c9b5ec246a (block).

Recommended actions for engineers

  • Patch immediately: confirm WordPress is updated to a patched release or backport (6.8.6, 6.9.5, 7.0.2, or 7.1 Beta 2 as applicable).
  • Verify your site is proxied through Cloudflare (orange cloud) to ensure WAF coverage.
  • Inspect firewall logs for blocked requests matching the rule IDs above and look for exploitation indicators in access logs and DB query logs.
  • Do not rely solely on WAF: treat the WAF as temporary mitigation and complete patching/verification of backups and integrity checks.
  • If you run a persistent object cache, note the RCE requires it to be not in use; still apply patches.

References

  • WordPress security release and backport details (official announcement)
  • Cloudflare WAF rule IDs (listed above)

Full Translation

Translations

A translation section that keeps the flow of the original article.

openaijamodel: gpt-5-mini-2025-08-07

Cloudflare WAF、WordPressアプリケーションを重大度の高い脆弱性2件から保護

概要

Cloudflare は、WordPress に影響する2件の重大な脆弱性に対して新しい Web Application Firewall (WAF) 保護を展開しました。これらは、WordPress の REST API における未認証リモートコード実行（RCE）脆弱性と、それに関連する SQL インジェクション脆弱性です。WordPress セキュリティチームは公開前にこれらを Cloudflare に開示しており、我々は顧客保護の準備を行いました。

Cloudflare は、アプリケーショントラフィックが Cloudflare WAF を経由しているすべての顧客（無料プラン・有料プランを含む）を保護するために新しいルールを展開しました。ルールは 2026-07-17 17:03 UTC にデプロイされました。WAF による保護は更新作業中の露出を低減しますが、パッチ適用の代替にはなりません。

WordPress はバージョン 7.0.2 で修正をリリースしており、影響を受ける過去ブランチ向けにバックポートも提供しています：6.9.5、6.8.6、および 7.1 Beta 2（リリースの詳細を参照）。6.8 未満のバージョンは影響を受けません。WordPress はこの問題を最も重大度・優先度の高いクラスとして扱い、影響を受けるサイトに対して自動更新を強制しているため、多くのサイトは自動的に更新されます。それでも、対象ブランチのパッチ適用済みリリースまたはバックポートを使用していることを確認し、公式の WordPress セキュリティリリース発表のガイダンスに従うことを推奨します。

何を知っておくべきか

影響はリクエスト経路の異なる部分にあります。

  • CVE-2026-60137: SQL injection

    • 説明: WordPress バージョン 6.8 以降において、細工された入力によりデータベースクエリが改変される可能性があります。
    • 評価: High

  • CVE-2026-63030: Unauthenticated remote code execution

    • 説明: WordPress バージョン 6.9 以降において、永続オブジェクトキャッシュを使用していない場合に、REST API の batch エンドポイントを通じて未認証の攻撃者がコードを実行できる可能性があります。この脆弱性は上記の SQL インジェクションに関連しています。ログインやユーザー操作は不要で悪用可能です。
    • 評価: Critical

SQL インジェクション脆弱性は 6.8 以降に存在し、RCE は 6.9 以降にのみ影響します。そのため、6.8.6 は SQLi のみを修正し（RCE は 6.8 に存在しないため）、6.9.5、7.0.2、7.1 Beta 2 では両方が修正されています。

Cloudflare の対策

Cloudflare は、これらの脆弱性に関連するリクエストを検知するために2つのルールを作成しました。ルールはすべての顧客に対してデプロイされ、該当するリクエストはブロックされます（アプリケーショントラフィックが Cloudflare を経由している場合）。

説明CVEManaged Ruleset Rule IDFree Ruleset Rule IDデフォルトアクション
Wordpress - SQL Injection - CVE:CVE-2026-60137CVE-2026-601371c060d3a371549219ee290d7ed933fccdb003b39b7774859a8d588ce33697a1aBlock
Wordpress - Remote Code Execution - CVE:CVE-2026-63030CVE-2026-630307dfb2bd4708d4b88b9911dc0550664b6ebd3f2df15c74ddcbf6220c9b5ec246aBlock

推奨アクション

  • 速やかに WordPress を修正済みのバージョン（7.0.2、または該当するバックポート：6.9.5、6.8.6、7.1 Beta 2）へ更新してください。
  • サイトが Cloudflare を経由している場合でも、WAF による保護は一時的な緩和策であり、恒久的対策としてパッチ適用を必ず行ってください。
  • 自動更新の適用状況を確認し、必要に応じて手動でバージョンを確認してください。

もし追加の技術情報や公式のリリースノートが必要であれば、WordPress のセキュリティアナウンスを参照してください。