Summary

CloudflareはWordPressの2件の高危険度脆弱性（CVE-2026-60137: SQLインジェクション、CVE-2026-63030: 認証不要RCE）に対するWAFルールを2026-07-17T17:03 UTCに展開しました。すべてのプラン（無料含む）で、トラフィックがCloudflare経由（プロキシ有効）の場合に適用されます。WAFは露出低減のための緩和策であり、恒久的対策としては必ず公式パッチを適用してください。

Key Points

影響と深刻度
- CVE-2026-60137: SQLインジェクション（High）。WordPress 6.8以降が影響対象。
- CVE-2026-63030: 認証不要のリモートコード実行（Critical）。WordPress 6.9以降が影響（永続オブジェクトキャッシュを使用していない場合に悪用可能）。
パッチ情報
- 修正済みバージョン: 7.0.2
- バックポート: 6.9.5、6.8.6、7.1 Beta 2
- 6.8未満は影響外。WordPressは影響範囲に自動更新を強制中。
Cloudflare WAFルール（デフォルトアクション: Block）
- SQLi (CVE-2026-60137): managed=1c060d3a371549219ee290d7ed933fcc / free=db003b39b7774859a8d588ce33697a1a
- RCE (CVE-2026-63030): managed=7dfb2bd4708d4b88b9911dc0550664b6 / free=ebd3f2df15c74ddcbf6220c9b5ec246a
展開日時: 2026-07-17 17:03 UTC

Recommended actions

直ちに影響を受けるWordPressバージョンへアップデート（7.0.2または該当バックポート）。
サイトがCloudflare経由でプロキシ設定されていることを確認（WAF適用条件）。
パッチ適用後にWAFログとアクセスログを確認して異常なリクエストや試行を調査。
自動更新の適用状況を確認し、必要に応じてバックアップと復旧手順を用意する。

openaijamodel: gpt-5-mini-2025-08-07

Cloudflare WAF、WordPressアプリケーションを重大度の高い脆弱性2件から保護

概要

Cloudflare は、WordPress に影響する2件の重大な脆弱性に対して新しい Web Application Firewall (WAF) 保護を展開しました。これらは、WordPress の REST API における未認証リモートコード実行（RCE）脆弱性と、それに関連する SQL インジェクション脆弱性です。WordPress セキュリティチームは公開前にこれらを Cloudflare に開示しており、我々は顧客保護の準備を行いました。

Cloudflare は、アプリケーショントラフィックが Cloudflare WAF を経由しているすべての顧客（無料プラン・有料プランを含む）を保護するために新しいルールを展開しました。ルールは 2026-07-17 17:03 UTC にデプロイされました。WAF による保護は更新作業中の露出を低減しますが、パッチ適用の代替にはなりません。

WordPress はバージョン 7.0.2 で修正をリリースしており、影響を受ける過去ブランチ向けにバックポートも提供しています：6.9.5、6.8.6、および 7.1 Beta 2（リリースの詳細を参照）。6.8 未満のバージョンは影響を受けません。WordPress はこの問題を最も重大度・優先度の高いクラスとして扱い、影響を受けるサイトに対して自動更新を強制しているため、多くのサイトは自動的に更新されます。それでも、対象ブランチのパッチ適用済みリリースまたはバックポートを使用していることを確認し、公式の WordPress セキュリティリリース発表のガイダンスに従うことを推奨します。

何を知っておくべきか

影響はリクエスト経路の異なる部分にあります。

CVE-2026-60137: SQL injection
- 説明: WordPress バージョン 6.8 以降において、細工された入力によりデータベースクエリが改変される可能性があります。
- 評価: High
CVE-2026-63030: Unauthenticated remote code execution
- 説明: WordPress バージョン 6.9 以降において、永続オブジェクトキャッシュを使用していない場合に、REST API の batch エンドポイントを通じて未認証の攻撃者がコードを実行できる可能性があります。この脆弱性は上記の SQL インジェクションに関連しています。ログインやユーザー操作は不要で悪用可能です。
- 評価: Critical

SQL インジェクション脆弱性は 6.8 以降に存在し、RCE は 6.9 以降にのみ影響します。そのため、6.8.6 は SQLi のみを修正し（RCE は 6.8 に存在しないため）、6.9.5、7.0.2、7.1 Beta 2 では両方が修正されています。

Cloudflare の対策

Cloudflare は、これらの脆弱性に関連するリクエストを検知するために2つのルールを作成しました。ルールはすべての顧客に対してデプロイされ、該当するリクエストはブロックされます（アプリケーショントラフィックが Cloudflare を経由している場合）。

説明	CVE	Managed Ruleset Rule ID	Free Ruleset Rule ID	デフォルトアクション
Wordpress - SQL Injection - CVE:CVE-2026-60137	CVE-2026-60137	1c060d3a371549219ee290d7ed933fcc	db003b39b7774859a8d588ce33697a1a	Block
Wordpress - Remote Code Execution - CVE:CVE-2026-63030	CVE-2026-63030	7dfb2bd4708d4b88b9911dc0550664b6	ebd3f2df15c74ddcbf6220c9b5ec246a	Block

推奨アクション

速やかに WordPress を修正済みのバージョン（7.0.2、または該当するバックポート：6.9.5、6.8.6、7.1 Beta 2）へ更新してください。
サイトが Cloudflare を経由している場合でも、WAF による保護は一時的な緩和策であり、恒久的対策としてパッチ適用を必ず行ってください。
自動更新の適用状況を確認し、必要に応じて手動でバージョンを確認してください。

もし追加の技術情報や公式のリリースノートが必要であれば、WordPress のセキュリティアナウンスを参照してください。

Cloudflare WAF protects WordPress applications from two high-severity vulnerabilities

要約