2026年9月1日、WordPressのセキュリティ企業であるWordfenceから、WordPressプラグイン「All-in-One WP Migration and Backup」の脆弱性に関する情報が公開されました。
All-in-One WP Migration and Backupは、WordPressサイトの移行やバックアップに広く利用されているプラグインです。WordPress.orgの公式ページでは、有効インストール数が500万以上と案内されています。
今回確認された脆弱性は、条件がそろうとWebサイトを乗っ取られる可能性があるものです。対象バージョンを利用している場合は、できるだけ早く修正版へ更新してください。
脆弱性の概要
| 項目 | 内容 |
|---|---|
| 対象プラグイン | All-in-One WP Migration and Backup |
| 脆弱性識別番号 | CVE-2026-19949 |
| 影響を受けるバージョン | 7.109以前 |
| 修正版 | 7.110 |
| 脆弱性の種類 | SQLインジェクション |
| 深刻度 | CVSS 8.8（High） |
SQLインジェクションとは、Webサイトがデータベースに送る命令へ、攻撃者が不正な命令を紛れ込ませる攻撃です。悪用されると、データベース内の情報を読み取られたり、書き換えられたりするおそれがあります。
今回の脆弱性では、ログインしていない第三者が不正なデータをサイト内に仕込み、その後、サイト管理者がAll-in-One WP Migration and Backupを使ってサイトの書き出しと復元を行うと、不正なSQLが実行される可能性があります。
さらに、プラグインが使用する秘密鍵を取得されると、攻撃者に不正なバックアップファイルを読み込まれ、サーバー上で任意のコードを実行される可能性があります。最終的には、Webサイト全体の乗っ取りにつながるおそれがあります。
プラグインを入れているだけで、すぐに攻撃が成立するわけではありません
今回の攻撃が成立するには、攻撃者が不正なデータを仕込んだあと、サイト管理者が対象プラグインを使ってサイトを書き出し、そのデータを復元するという手順が必要です。
プラグインをインストールしているだけで、直ちにサイトが乗っ取られるというものではありません。
ただし、バックアップの復元やサイト移行は、このプラグイン本来の用途です。普段から利用しているサイトでは条件が成立する可能性があるため、放置せずに更新することが重要です。
利用者が行うべき対応
1．バージョン7.110以降へ更新する
WordPressの管理画面で「プラグイン」から「All-in-One WP Migration and Backup」のバージョンを確認してください。
7.109以前を利用している場合は、脆弱性が修正された7.110以降へ速やかに更新してください。2026年9月2日時点で、WordPress.orgから公開されている最新版は7.110です。
2．使用していない場合は削除する
サイト移行時にだけ使用し、その後は使っていないというケースも少なくありません。
今後も使用する予定がない場合は、停止したまま残すのではなく、プラグインを削除することをおすすめします。不要なプラグインを減らすことは、Webサイトへの攻撃経路を減らすことにもつながります。
3．古いバージョンで復元作業を行った場合は、サイトの状態を確認する
7.109以前のバージョンを使って、最近バックアップの復元やサイト移行を行った場合は、念のため次のような点も確認してください。
- 身に覚えのない管理者ユーザーが追加されていないか
- 不審なプラグインやテーマが追加されていないか
- サーバー上に見覚えのないファイルが作成されていないか
- Webサイトの表示や動作に不審な変化がないか
- アクセスログやログイン履歴に不審な記録がないか
- マルウェアスキャンで異常が検出されないか
不審な点が見つかった場合は、更新だけで済ませず、改ざんやマルウェア感染の有無を調査する必要があります。
セキュリティプラグインを導入していても、更新は必要です
WordfenceなどのセキュリティプラグインやWAFを導入している場合でも、脆弱性のあるバージョンを使い続けてよいわけではありません。
セキュリティ対策はあくまで多層的に行うものであり、プラグイン本体を安全なバージョンへ更新することが基本です。まずはAll-in-One WP Migration and Backupを7.110以降へ更新してください。
まとめ
今回の脆弱性は、500万以上のWordPressサイトで利用されている人気プラグインに関するものです。
影響を受けるのはAll-in-One WP Migration and Backupの7.109以前で、7.110にて修正されています。利用中の方は、WordPressの管理画面からバージョンを確認し、早めに更新してください。
また、使用していない場合はプラグインを削除し、古いバージョンでバックアップの復元やサイト移行を行った場合は、不審なユーザーやファイルがないか確認することをおすすめします。
WordPressサイトの更新やセキュリティ対応に不安がある方へ
株式会社テックブリッジでは、WordPress本体・プラグインの更新、脆弱性情報の確認、マルウェアスキャン、不審なユーザーやファイルの調査など、WordPressサイトの保守管理を行っています。
「対象プラグインを使っているか分からない」「自分で更新して不具合が起きないか心配」「サイトが改ざんされていないか確認してほしい」といった場合は、お問い合わせフォームからご相談ください。
参考情報
- Wordfence：5 Million WordPress Sites Affected by SQL Injection Vulnerability in All-in-One WP Migration and Backup WordPress Plugin
- WordPress.org：All-in-One WP Migration and Backup
- WPScan：All-in-One WP Migration and Backup < 7.110 - Unauthenticated Second-Order SQLi via Archive Restore to RCE
投稿者プロフィール
