WordPressのセキュリティ企業Defiantが、WordPress用プラグイン「All-in-One WP Migration and Backup」に存在する深刻度の高い脆弱性により、300万を超えるウェブサイトがリモートコード実行(RCE)攻撃にさらされていると警告しています。
CVE-2026-19949として追跡されているこのセキュリティ上の欠陥(CVSSスコア8.8)は、同プラグインのアーカイブ復元機能に存在する二次的なSQLインジェクションの問題であると説明されています。
Defiantの説明によれば、ユーザーが入力した値のエスケープ処理が不十分であることに加え、既存のSQLクエリが十分にプリペアドステートメント化されていないことが、この不具合の原因となっています。
攻撃者はWordPressコアのトラックバック機能を通じて悪意あるコンテンツを送り込み、アーカイブ復元操作時に使用される秘密鍵を抽出できます。そのうえで、この鍵を使って悪意あるプラグインを展開し、RCEを実行することが可能になります。
All-in-One WP Migration and Backupは、サイトを.wpressアーカイブとしてパッケージ化し、管理者が任意の宛先サーバー上でそのアーカイブを復元できるようにするプラグインです。インポート操作自体は未認証で実行できますが、各データベース復元処理時に保存される秘密鍵によって保護されています。
CVE-2026-19949では、攻撃者が公開投稿に対して2件のトラックバックを送信できます。それぞれには末尾にバックスラッシュと、ペイロードにつながるURLが付加されています。この入力は、バックスラッシュが除去されることも、URLが拒否されることもなく、そのまま保存されてしまいます。
管理者がサイトをアーカイブ化し、その後インポートを実行すると、プラグインは保存されているSQL内のURLとテーブルプレフィックスを書き換えます。この過程で、攻撃者が仕込んだ入力は実行可能なSQLへと昇格し、その結果、秘密鍵の値が承認済みで一般公開されるコメントとして書き込まれてしまいます。
その後、未認証の攻撃者はサイトのコメント用REST APIエンドポイントからこの秘密鍵を取得し、それを使って悪意あるmust-useプラグインを含む細工済みの.wpressアーカイブをインポートできます。このプラグインは次回のページ読み込み時に実行され、RCEにつながります。
「あらゆるリモートコード実行の脆弱性と同様に、この問題はウェブシェルなどの手法を通じてサイトの完全な侵害につながる可能性があります」とDefiantは指摘しています。
この脆弱性はAll-in-One WP Migration and Backupのバージョン7.109以下すべてに影響し、8月20日にリリースされたバージョン7.110で修正されています。
非常に人気の高いバックアップ・復元用WordPressツールである同プラグインは、500万を超えるアクティブな導入実績を持っています。9月3日時点で、バージョン7.110へのアップデートが完了しているインストールは全体のわずか35%にとどまっており、WordPressのデータが示すところでは、およそ320万のサイトが依然として脆弱なバージョンのプラグインを稼働させていることになります。
