WordPress向けプラグイン「All-in-One WP Migration and Backup」に存在するSQLインジェクションの脆弱性により、認証を経ていない攻撃者がリモートコードを実行し、対象サイトを乗っ取れる可能性があることが分かりました。
このプラグインは、データベースやメディア、テーマ、プラグインを含むウェブサイト全体を、サーバーやドメイン間でバックアップ・エクスポート・インポート・移行するために使用されています。
この脆弱性はCVE-2026-19949として追跡されており、深刻度は「高」と評価されています。発見したのはセキュリティ研究者のJack Taylor氏で、8月中旬にDefiant社のサイバーセキュリティ部門であるWordfenceを通じて報告しました。
Wordfenceの研究者らは昨日公開したレポートの中で、CVE-2026-19949はセカンドオーダー型のSQLインジェクション脆弱性であり、All-in-One WP Migration and Backupのバージョン7.109までに影響すると述べています。
この問題は、プラグインがアーカイブ復元時にデータベースの内容を書き換える際、エスケープされたバックスラッシュや引用符の解析を誤って処理していることに起因します。
認証を経ていない攻撃者は、WordPressのトラックバック機能を通じて細工したデータを仕込むことができ、これは管理者がサイトのエクスポートやインポートを実行した際に発動します。どちらもこのプラグインではよく行われる操作です。
注入されたSQLは、公開コメントを通じてプラグインの秘密鍵であるインポートキー(ai1wm_secret_key)を漏えいさせる可能性があり、攻撃者はこれを入手することで、実行可能なコードを含む悪意ある「.wpress」アーカイブをインポートできるようになります。
Wordfenceによれば、この権限レベルでのコード実行は、対象サイトの完全な乗っ取りにつながる恐れがあるとのことです。
WordPress.orgの統計情報によると、All-in-One WP Migration and Backupのアクティブインストール数は500万件を超えています。
開発元がこの問題を修正したにもかかわらず、プラグインの利用者のうち最新版に更新済みなのは約35%にとどまっており、残る325万件のサイトは脆弱なバージョンのAll-in-One WP Migration and Backupを使い続けている状況です。
管理者の操作によって発動する攻撃
この攻撃を仕掛けるペイロードは、管理者がバックアップアーカイブを復元するまで潜伏したままです。復元操作によってSQL文字列の境界処理が行われ、保存されたデータがSQLとして実行されてしまいます。
この前提条件があることで即座に悪用されるリスクはやや低くなるものの、Wordfenceはこのプラグインの役割上、管理者がいずれこの操作を行うのは当然予想されると指摘しています。
「バックアップと復元はこのプラグインの中核的な機能であるため、これは日常的に行われる操作です。ただし、その操作が実行されるまでは、注入されたSQLは実行されません」とWordfenceは指摘しています。
研究者らは、無効化された状態の脆弱なバージョンのプラグインであればリスクは低くなるものの、一時的にでも有効化されれば依然として悪用され得ると説明しています。
Wordfenceは、Taylor氏の報告内容を検証した上で、8月15日にAll-in-One WP Migration and Backupプラグインの開発元であるServMaskにこの問題を開示しました。
ServMaskは8月20日、プラグインのバージョン7.110でCVE-2026-19949の脆弱性に対処しました。
