SecurityWeekの報道によれば、WordPress向けバックアップ・移行プラグイン「All-in-One WP Migration and Backup」に、認証不要でリモートコード実行（RCE）に至る重大な脆弱性が確認された。採番はCVE-2026-19949、CVSSスコアは8.8。WordPressセキュリティ企業Defiantが分析と注意喚起を実施している。アクティブインストール数は500万件を超える規模だが、修正版への移行率は9月3日時点で35%に留まり、約320万サイトが脆弱バージョンのまま稼働していると見られる。
二段階SQLインジェクションの構造
Defiantの解説によれば、欠陥はプラグインの「アーカイブリストア機能」内部に存在する。ユーザー入力が十分にエスケープされず、既存のSQLクエリがプリペアード化されていない点が根本原因である。
この脆弱性は二段階（second-order）の性質を持つため、単発のリクエストでは完結しない。報告されている攻撃フローは次の通りである。
1. 攻撃者はWordPressコアのトラックバック機能を利用する。任意の公開投稿に対し、悪意あるコンテンツを含む2件のピングを送信する。ペイロードの末尾にはバックスラッシュが付与され、内部に攻撃用URLが埋め込まれる
2. WordPress側のサニタイズを経ずに、入力はそのままデータベースへ保存される
3. 標的サイトの管理者が通常運用としてサイトを .wpress アーカイブへエクスポートし、別のサーバでリストアを実行する
4. プラグインのリストア処理はURLおよびテーブルプレフィックスを保存済みSQL上で置換する。この過程で攻撃者入力が実行可能SQLに昇格し、復元用シークレットキーの値が公開コメントとして書き出される
5. 攻撃者はWordPress標準のコメント用REST APIエンドポイントからシークレットキーを取得する。シークレットキーは本来、リストア時の認証にのみ使用される想定である
6. 攻撃者は取得したキーを用いて、悪意あるmust-useプラグイン（mu-plugins）を含む .wpress を標的サイトへ投入する
7. 次回ページロード時にmu-pluginsが自動実行され、RCEが成立する
Defiantは、ウェブシェル設置などを通じてサイト完全掌握に直結する旨を指摘している。.wpress はデータベースダンプ・テーマ・プラグイン・メディアを単一コンテナに格納するAll-in-One WP Migration固有の形式であり、リストア処理はこのコンテナを展開しながらSQLのテーブルプレフィックスとURLを機械的に置換する。置換ロジックがプリペアードクエリを経由していないため、攻撃者入力がそのまま実行文へ昇格する構造である。
影響規模と実対応
脆弱対象はバージョン7.109以前すべて。修正版7.110は8月20日にリリース済みである。WordPress統計データによれば、9月3日時点で更新済みは全体の約35%にとどまる。残りの約320万サイトは依然として脆弱バージョンで稼働していることになる。
個人開発者観点でのチェックポイントは以下である。
- 管理画面または
wp plugin listコマンドでバージョンが7.110以上であることを確認する。未更新の場合は即時アップデートが前提である - 直近にアーカイブ復元を行った運用がある場合、コメント欄に不審なエントリが混入していないかを
wp comment list --status=approveなどで点検する - 「設定 → ディスカッション」でトラックバック受付を無効化し、コメント承認制を有効化する
wp-content/mu-pluginsおよびwp-content/plugins直下に不審なディレクトリや単一ファイルPHPが存在しないかを確認する- 可能であればWAFで
trackback/pingback経由のPOSTリクエストを監視対象に追加する - リストア後に
wp_optionsテーブルに意図しないシークレット値が混入していないかも確認する
関連脆弱性と運用の含意
Freshyによれば、「Redirection for Contact Form 7」3.2.11未満において、フォーム入力経由で登録済みショートコードを実行できる脆弱性（CVE-2026-80439）が報告されている。Contact Form 7および同アドオン利用環境では3.2.11への更新が必須となる。
個人開発運用では、管理画面から遠いプラグインの更新漏れが致命傷になりやすい。主要プラグインはCIまたはデプロイ段階でバージョンチェックを噛ませておき、最低でも月次の棚卸し運用に組み込むのが現実的である。[Composerベースの管理であれば composer outdated](/articles/dockerguan-litsurudockhand-1-0-47deng/) をCIへ組み込み、依存関係として主要プラグインを明示する手法が有効である。また、mu-pluginsはWordPressの仕様上、ファイル配置のみで自動実行される。RCE成立後はこのディレクトリが攻撃の足場として狙われやすいため、定期的な find ベースの棚卸しが必要となる。