CVE-2026-19949、数百万件のWordPressサイトが脆弱なバージョンのプラグインを稼働中

本来はサイトのトラブル復旧を助けるはずのWordPressバックアップツールが、逆に攻撃の引き金になりかねない状況です。

研究者らは、All-in-One WP Migration and Backupプラグインのバージョン7.109以前に影響する深刻度の高いSQLインジェクション脆弱性を公表しました。この欠陥はバージョン7.110で修正されていますが、Bleeping Computerによると、9月2日時点で推定325万件のサイトが依然として脆弱なバージョンを稼働させていたとのことです。

CVE-2026-19949として追跡されているこの脆弱性は、機密性の高いデータベース情報を露出させる可能性があり、特定の条件下ではプラグインの秘密鍵を漏洩させる恐れもあります。研究者らは、これがリモートコード実行につながる経路になり得ると指摘しています。

セカンドオーダーSQLインジェクションの仕組み

この欠陥を発見したのはJack Taylor氏で、8月14日にバグ報奨金プログラムを通じてWordfenceに報告しました。Wordfenceはその後、このプラグインの開発元であるServMaskに警告し、この欠陥をセカンドオーダーSQLインジェクション攻撃であると説明しています。

攻撃者はまず悪意のある入力をWordPressのデータベースに保存しておき、そのサイトがプラグイン本来の機能である「アーカイブのエクスポートまたは復元」という操作を実行するのを待ちます。

この実行の遅延こそが、この欠陥をセカンドオーダーSQLインジェクションたらしめている要因です。悪意のある入力は即座に実行されるのではなく保存され、後にプラグインがアーカイブ操作の際にそれを取得し、脆弱なデータベースクエリに渡して初めて危険なものとなります。

その時点で、保存されたデータはSQLとして解釈される可能性があり、攻撃者はWordPressのデータベースから情報にアクセスできるようになります。

露出しうる情報の中には、このプラグインの秘密鍵も含まれており、研究者らはこれがリモートコード実行への経路を提供し得ることを突き止めました。これにより、攻撃者は最終的に影響を受けたWordPressサイトの制御を奪うことが可能になります。

つまりこのリスクは、単に攻撃者が脆弱なサイトにSQLを注入できるというだけの話ではありません。攻撃を事前に仕込んでおき、バックアップおよび移行プラグインの利用者が通常行うと考えられる正規の管理操作をきっかけに発動させられるという点が問題なのです。

All-in-One WP Migration and Backupのアクティブインストール数は500万件を超えていますが、そのすべてが脆弱というわけではありません。BleepingComputerの9月2日付の報道によるものです。

高権限なWordPressプラグインが格好の標的となる理由

バックアップ、ユーザー登録、ページビルダーといった管理機能を扱うプラグインは、WordPressインストールの機密性の高い部分と連携して動作することが多くあります。

こうした高いアクセス権限を持つがゆえに、これらのツールに存在する脆弱性は攻撃者にとって特に価値の高いものとなります。たった一つの欠陥が、データベース、ユーザーアカウント、あるいはその他の重要なサイト機能を露出させかねないからです。

今年3月には、User Registration & Membershipプラグインに脆弱性が発見され、攻撃者がWordPressサイト上に管理者アカウントを作成できる状態になっていました。同じく3月には、Elementor Allyプラグインの欠陥により40万件を超えるサイトがデータ窃取の危険にさらされました。

このパターンはもはや無視できないものになりつつあります。プラグインが管理者に与える権限が大きいほど、そのプラグインに存在する欠陥は攻撃者にとってより価値の高いものになるのです。

バックアップツール、登録システム、ページビルダーなどのプラグインは、WordPressサイトの重要な部分に密接に関わっているため、たった一つのセキュリティ上のミスが、便利な機能を侵害の入り口へと変えてしまう可能性があります。

サイト管理者が今すぐ取るべき対応

All-in-One WP Migration and Backupプラグインを利用している方は、まず修正版であるバージョン7.110へのアップデートを最優先で実施してください。

それに加えて、これを機にご自身のWordPressサイトで稼働しているすべてのプラグインを改めて見直すことをお勧めします。あるプラグインが裏側で有用な処理を行っていたとしても、それが古いバージョンのままであれば、いつの間にかサイトのセキュリティ上の最も弱い部分になってしまう可能性があります。

インストール済みのプラグインを確認し、使用していないものは削除し、それ以外もセキュリティ修正が公開され次第アップデートするようにしてください。WordPressではプラグインの自動アップデート機能が利用できるため、手動での確認をつい怠りがちな方は、自動アップデートを使うのが最善の選択かもしれません。

とはいえ、直近で最優先すべきことはシンプルです。All-in-One WP Migration and Backupをインストールしている場合は、影響を受けるバージョンを稼働させたままにしないよう確認してください。

その他のニュース: Coderがサプライチェーン攻撃を公表しました。ハッカーが同社の信頼されたレジストリ経路を乗っ取り、悪意のあるTerraformモジュールを配布して、約14時間にわたりクラウド、CI/CD、AIツール、SSHの各種認証情報を窃取していたというものです。