RCE

WordPressコアにRCE脆弱性、数千万サイトが標的に

WordPress

WordPressコアにRCE脆弱性、数千万サイトが標的に

WordPressの根幹にあたるコアコードに、認証なしで任意のコードを実行できる脆弱性が見つかった。パッチ公開から3日、すでに攻撃が始まっている。 プラグインではない。コアが破られた WordPressの脆弱性といえば、通常はプラグインやテーマが原因になる。今回は違う。 7月17日に公表された2件の脆弱性は、WordPressコア自体に存在する。CVE-2026-63030はREST APIのバッチエンドポイントにおける経路混同（route confusion）、CVE-2026-60137はWP_Queryクラスのauthor__not_inパラメータにおけるSQLインジェクション。この2つを連鎖させると、ログインもプラグインも必要なく、匿名の攻撃者がサーバー上で任意のコードを実行できる。RCE（リモートコード実行）と呼ばれる、サイトの完全な乗っ取りにつながる脆弱性だ。 セキュリティ企業Searchlight Cyberの研究者アダム・キューズ（Adam Kues）氏がこの脆弱性を発見し、WP2Shellと名付けた。キューズ氏はWordPressのHackerOneプログラ
ChromiumのRCE脆弱性が修正後も残存　Googleが情報を誤って公開

セキュリティ

ChromiumのRCE脆弱性が修正後も残存　Googleが情報を誤って公開

Chromiumに2022年から存在する未修正の脆弱性が、Googleの誤操作によってPoC（概念実証コード）ごと公開状態になった。修正済みと記録されていたにもかかわらず、実際には機能したままだった。 ブラウザを閉じても動き続ける 問題の核心は、Chromiumの Background Fetch API にある。大容量ファイルや動画をバックグラウンドでダウンロードし続けるためのこの仕組みは、タブやブラウザを閉じた後もダウンロードを継続できる。 攻撃者はこれを悪用し、終了しないサービスワーカーを生成する悪意あるウェブページを作れる。ユーザーが一度そのページを訪れると、JavaScriptがデバイス上で実行され続け、ブラウザが閉じられた後も攻撃者のサーバーに接続し続ける状態になる。 サービスワーカーとは、ブラウザとサーバーの間に常駐するJavaScriptコンポーネントで、オフライン機能やページの高速化を担う仕組み。本来は利便性のための技術だが、今回の脆弱性ではこれが持続的な接続経路として悪用される。 この状態を利用すれば、乗っ取ったブラウザをDDoS攻撃の踏み台にしたり、悪