Bleeping Computerは9月2日(米国時間)、「WordPress backup plugin flaw exposes millions of sites to takeover attacks」において、WordPressの人気のバックアッププラグイン「All-in-One WP Migration and Backup」から重大な脆弱性が発見されたと報じた。

この脆弱性を悪用されると、認証されていないリモートの攻撃者に機密情報を窃取される可能性がある。また、この攻撃に成功した場合、リモートコード実行(RCE: Remote Code Execution)も可能と評価されている。

脆弱性に関する情報

脆弱性に関する情報は次のページにまとまっている。

脆弱性の情報(CVE)は次のとおり。

  • CVE-2026-19949 - SQLインジェクションの脆弱性。認証されていないリモートの攻撃者は、アーカイブの復元機能を介したSQLインジェクションにより機密情報を窃取できる可能性がある。この攻撃では特定の秘密鍵を窃取可能であり、結果的にリモートコード実行が可能となる(CVSSスコア： 8.8)

影響を受けるバージョン

脆弱性が存在するとされる製品およびバージョンは次のとおり。

  • All-in-One WP Migration and Backupバージョン7.109およびこれ以前のバージョン

脆弱性を修正したとされる製品およびバージョンは次のとおり。

  • All-in-One WP Migration and Backupバージョン7.110

320万サイト以上が未修正、速やかなアップデートを

All-in-One WP Migration and Backupはこれまでに1億8000万回以上ダウンロードされ、500万サイト以上で利用されている人気のプラグインだ。本稿執筆時点で約64.2%(320万サイト以上)が脆弱な状態のままであり、速やかな対策が必要とされる。

  • アクティブバージョンの割合 - 引用： WordPress.org

    アクティブバージョンの割合 - 引用： WordPress.org

脆弱性を調査したWordfenceは、リモートコード実行に成功した場合、Webサイトが完全に侵害される可能性があるとして影響の重大性を訴えている。CVSSスコアは8.8で、深刻度は「High（高）」と評価されている。

これは攻撃の成立に、管理者によるサイトのエクスポートとインポートの操作が必要となるためだ。悪意のあるSQLはそれまで実行されない。ただし、バックアップと復元はこのプラグインの中核機能であり、Wordfenceは通常行われる操作だと指摘している。

Wordfenceは当該プラグインを利用しているWordPressの管理者に対し、速やかなアップデートを推奨している。なおWordfenceによると、悪意のあるSQLコマンドが仕込まれていた場合でも、バージョン7.110へのアップデート後に実行されることはないという。