Cloudflare、WordPress の重大脆弱性対策を公開

Cloudflare は、WordPress に影響を与える 2 つの深刻な脆弱性に対応するため、新しい Web アプリケーションファイアウォール（WAF）保護機能を展開しました。この対策は、WordPress の REST API で発見された認証不要の遠隔コード実行（RCE）脆弱性と、関連する SQL インジェクション脆弱性を対象としています。

WordPress セキュリティチームは、一般公開前にこれらの脆弱性情報を Cloudflare に開示し、顧客向けの保護策を準備してもらうよう依頼しました。Cloudflare は 2026 年 7 月 17 日 17:03（UTC）に新しいルールを展開し、無料プランおよび有料プランを問わず、Cloudflare WAF を経由してトラフィックが処理されているすべての顧客を保護しています。

WAF の保護機能はパッチ適用までの間、リスクを低減するものですが、パッチ適用の代わりにはなりません。WordPress はバージョン 7.0.2 で修正プログラムを公開しており、影響を受ける以前のバージョンについても 6.9.5、6.8.6、および 7.1 Beta 2 にバックポートされています。6.8 より前のバージョンは影響を受けません。

WordPress は今回の問題を最高 severity（重大度）かつ最優先の課題として扱い、影響を受けるサイトに対して自動更新を強制しています。そのため、多くのサイトでは自動的に更新が完了する見込みです。ただし、念のためご自身の環境が修正済みリリースまたは該当ブランチ用のバックポート版になっているか確認し、公式セキュリティリリース発表で示されたガイダンスに従うことを強く推奨します。

必ず知っておくべきポイント

今回の脆弱性は、リクエストパスの異なる部分に影響を及ぼしています：

CVE-2026-60137：SQL インジェクション

WordPress 6.8 以降のバージョンには、悪意のある入力を組み合わせてデータベースクエリを改ざんできる脆弱性が存在します。リスクレベルは「高」です。

CVE-2026-63030：認証不要なリモートコード実行

WordPress 6.9 以降では、永続的なオブジェクトキャッシュが有効になっていない状態で REST API のバッチエンドポイントを通じて、認証不要の攻撃者がコードを実行できる脆弱性が確認されています。これは前述の SQL インジェクションと関連しています。この脆弱性を悪用するにはログインやユーザー操作は不要です。リスクレベルは「致命的」です。

SQL インジェクションの脆弱性は 6.8 以降に存在しますが、RCE（リモートコード実行）が影響するのは 6.9 からです。そのため、バージョン 6.8.6 は RCE が発生しない 6.8 シリーズ向けの SQLi 対策のみを適用したものです。一方、6.9.5、7.0.2、および 7.1 Beta 2 では両方の脆弱性に対する修正が提供されています。

Cloudflare では、これらの脆弱性に関連するリクエストを検知するためのルールを 2 つ作成しました。

WordPress サイトを運用している Cloudflare の Pro、Business、Enterprise プランのお客様は、「Cloudflare Managed Rules」が有効になっているか必ず確認してください。設定方法は WAF Managed Rules のドキュメントをご覧ください。Free プランをご利用のお客様も、自動的に「Free Ruleset」によって保護されます。

新しいルールは、デフォルトの Managed Ruleset アクションである「ブロック（Block）」設定で展開されます。WordPress サイトを運用しているお客様は、すべてのルールを「ログ記録（Log）」へ変更するルールセットレベルのオーバーライドを含め、既存の設定を見直す必要があります。また、WordPress のアップデートが完了するまでの間は、新しいルールが推奨されるアクションで動作していることを確認してください。さらに、Cloudflare の顧客は、これらのルールに一致するリクエストがないか「セキュリティイベント」を監視することも強くお勧めします。

パッチ適用中の多層防御

SQL インジェクション対策ルールは、WordPress に到達する前に悪意のあるパラメータ値を検出します。認証不要の RCE（リモートコード実行）対策ルールは、RCP 実行パスへのアクセスを試みるリクエストを対象とします。この 2 つのルールは異なる地点で攻撃を検知するため、多重防御を実現しています。

これらのルールは、組織が影響を受けるシステムの更新を行う間のリスクを低減しますが、根本的な脆弱なコード自体を修正するものではありません。脆弱性に対処するための最も効果的な手段は、引き続き WordPress のアップデートです。

即座にアップデートできない場合は、Cloudflare 側の両方のルールが推奨アクションで有効になっていることを確認し、影響を受ける REST API エンドポイントへの不審なリクエストがないかログを確認してください。

今後の展望

Cloudflare は一致するトラフィックを監視し、新たな攻撃バリエーションに対してルールのテストを行い、必要に応じて検知機能を更新していきます。また、脆弱性の詳細が公開される前にユーザー保護に協力してくれた WordPress セキュリティチームをはじめ、他のインフラプロバイダーとの連携に感謝いたします。