WordPress プラグイン「All-in-One WP Migration」に深刻なSQLインジェクション脆弱性が判明

セキュリティ企業の Wordfence は米国時間の2026年9月1日、WordPress プラグイン「All-in-One WP Migration and Backup」に、ログイン不要で悪用できる脆弱性（CVE-2026-19949）が存在すると発表しました。外部から仕込んだデータが後から不正な命令として実行される「セカンドオーダーSQLインジェクション」と呼ばれる種類の脆弱性で、バージョン7.109までの全てが対象とのことです。同プラグインは500万件以上のサイトで使われており、Wordfence は重大な脆弱性として速やかな更新を呼びかけています。

手口としては、攻撃者がまず認証不要のトラックバック機能を悪用し、細工したデータをサイトに送り込んでおくというものです。送り込んだだけでは何も起きませんが、その後サイト管理者がバックアップのエクスポートとインポート（復元）を実行すると、仕込まれたデータがデータベースへの命令として実行されてしまいます。これによりプラグインが認証に使う秘密キーがコメントとして公開され、外部から読み取れる状態になります。この秘密キーがあれば、攻撃者はログインせずにインポート機能を使えるため、不正なバックアップファイルを送り込んで任意のプログラムを実行でき、サイトごと乗っ取られるとのことです。

今回の脆弱性は、復元時にデータベースの内容を書き換える処理で、引用符などの特殊文字を正しく扱えていなかったことが原因とされています。そのため、細工されたデータが単なる文字ではなく命令として解釈されてしまう仕組みになっていたとのことです。開発元の ServMask は、同年8月20日に問題を修正したバージョン7.110を公開しており、速やかな適用が呼びかけられています。