500万件を超えるWordPressサイトで有効化されているプラグインに影響する重大な脆弱性により、未認証の攻撃者が格納型SQLインジェクション脆弱性を悪用できる可能性があることが分かりました。これによりリモートコード実行やサイトの完全な乗っ取りにつながるおそれがあります。
この問題はCVE-2026-19949として追跡されており、ServMask社が開発する、広く利用されているAll-in-One WP Migration and Backupプラグインに影響します。Wordfenceはこの脆弱性についてCVSSスコア10点満点中8.8点と評価しており、深刻なリスクがあることを示しています。
7.109までの全バージョンが影響を受けますが、ServMaskは2026年8月20日にリリースされたバージョン7.110でこの欠陥に対処しました。セキュリティ研究者のJack Taylor氏がこのバグを発見し、Wordfenceのバグバウンティプログラムを通じて責任ある開示を行い、5,761ドルの報奨金を獲得しています。
Microsoftのセキュリティアップデート
WordPressプラグインの脆弱性
この脆弱性は、プラグインのアーカイブ復元処理における未認証の二次的SQLインジェクションの欠陥です。悪意のあるデータが送信と同時に実行される通常のSQLインジェクション攻撃とは異なり、この脆弱性では攻撃者が特別に細工した入力をWordPressのデータベースに格納しておくことができます。そして管理者がサイトのバックアップをエクスポートし、その後インポートするのを待つという手口です。
All-in-One WP Migrationは、WordPressのインストール環境をサイトファイルとデータベースダンプを含む独自の「.wpress」アーカイブにパッケージ化します。復元処理の過程で、このプラグインはデータベースを復元先の環境にインポートする前に、ソースURLとデータベースのテーブルプレフィックスを置き換えるためSQL文を書き換えます。
Wordfenceの調査によると、特定のバックスラッシュの並びが引用符の前に現れた場合、この処理ロジックはSQL文字列の境界を適切に処理できていないことが判明しました。
脆弱性のある`replace_table_values()`関数は、引用符で囲まれたSQL文字列を識別するための正規表現に依存しています。しかしこの正規表現は、閉じ引用符の直前にある文字のみをチェックしており、その前に続くバックスラッシュの並び全体を評価していません。
この見落としにより、プラグインが一つのSQL文字列の終端をまだエスケープされているものと誤って判断し、意図せずマッチ範囲が次の値にまで広がってしまう可能性があります。
その結果、後続のアンエスケープ、置換、再エスケープの処理過程で、攻撃者が制御するコンテンツが本来意図された文字列の範囲を抜け出し、実行可能なSQLとなってしまうおそれがあります。
攻撃者は、ピングを受け付ける公開投稿に対するWordPressのトラックバック機能を通じて悪意のあるデータを送り込むことができます。トラックバックはWordPressの認証を必要としないため、攻撃者は細工したブログ名やURLの値を送信でき、WordPressはこれをコメントのデータベーステーブルに格納してしまいます。
この段階ではSQLは実行されませんが、悪意のあるトラックバックが格納された後、管理者がエクスポートとインポートのサイクルを実行することが悪用の条件となります。
バックアップの復元は移行ツールを利用する組織にとって日常的な作業であるため、Wordfenceはこの条件を十分なセキュリティ対策とみなすべきではないと警告しています。
この攻撃チェーンは、プラグインの未認証インポート機能の保護に使われる値である`ai1wm_secret_key`を取得するために悪用される可能性があります。
研究者らによると、攻撃者は復元処理の過程でデータベースの行を操作し、このキーを承認済みの公開コメント内に漏洩させることができるとしています。攻撃者はその後、サイトが公開しているWordPressコメントのREST APIを通じて、漏洩したシークレットを取得できます。
シークレットキーを取得すると、攻撃者はプラグインの未認証インポート機能にアクセスできるようになります。そして、悪意のあるmust-useプラグインを含む特別に細工した移行アーカイブを提供することが可能になります。
must-useプラグインはWordPressによって自動的に読み込まれるため、注入されたコードはその後のページリクエスト時にWebサーバープロセスの権限で実行される可能性があります。これにより攻撃者は、リモートコード実行、Webシェルの設置、データ窃取、永続化、そしてサイトの完全な侵害へと至る経路を手に入れることになります。
Wordfenceは2026年8月16日、Premium、Care、Responseの各顧客にファイアウォール保護を提供しました。無料版のWordfenceユーザーには2026年9月15日にルールが提供される予定です。
管理者は、All-in-One WP Migration and Backupプラグインを直ちにバージョン7.110以降に更新し、公開トラックバック設定を見直し、コメント内に不審な項目がないか確認し、最近のバックアップ復元作業についても調査することが推奨されます。
SOCを最新の状態に保ち、出現から24時間以内に活発なマルウェアやフィッシングに対応しましょう。 早期検知でインシデントを未然に防ぐANYRUNを試してみてください。
翻訳元: https://gbhackers.com/wordpress-plugin-flaw-5/
