WordPress 7.0.2 が緊急リリース——2件の脆弱性の連鎖で認証なしのコード実行、強制更新も配信

WordPressが7月17日、深刻な脆弱性を修正したセキュリティリリース7.0.2などを公開しました。
修正されたのはCVE-2026-60137とCVE-2026-63030の2件で、単独でも厄介ですが、組み合わさると認証なしに遠隔からコードを実行される恐れがあるとされています。
WordPress側は影響を受けるサイトに対して、自動更新の仕組みを使った強制的な配信まで行いました。

1件目のCVE-2026-60137は、一部の関数でパラメータの検証が足りず、プラグインやテーマから渡された値を処理する際にSQLインジェクションが起きうるというもので、6.8系以降が対象です。
2件目のCVE-2026-63030は、REST APIのバッチ用エンドポイントがルートを解釈する際の問題で、6.9系以降が対象。
この2つをつなぐと、ログインしていない相手にサイトを乗っ取られる筋道ができてしまう、という構図です。

強制更新が流れているとはいえ、それで全部が片付くわけではありません。
自動更新を止めている、コアを独自に改変している、検証用の環境だけ古いまま——そういうサイトは配信の対象から外れることがあります。
管理しているサイトのバージョンを一覧で確かめて、7.0.2以降、あるいは自分が使っているブランチの修正版に上がっているかを見ておくのが確実です。

点検したいのはコアだけではありません。
今回の1件目はプラグインやテーマから渡された値がきっかけになる種類の穴で、コアを直しても周辺が古ければ足がかりは残ります。
使っていないプラグインを外す、更新の止まっているものを置き換える。
派手な作業ではありませんが、この積み重ねが効いてきます。