All-in-One WP Migrationに深刻な脆弱性｜復元時のSQL注入からサイト乗っ取りの危険

OVERVIEW

2026年8月24日、WordPress用移行・バックアッププラグイン「All-in-One WP Migration and Backup」に、Unauthenticated Second-Order SQL Injection（認証不要の二次SQLインジェクション）が公開されました。アーカイブ復元時の処理をきっかけに不正なSQLが実行され、リモートコード実行（RCE）までつながる恐れがあります。

脆弱性は CVE-2026-19949 として追跡され、深刻度は CVSS 8.8（High：高） です。対象プラグインは WordPress.org 上で500万以上の有効インストールがあり、影響範囲は広いと考えられます。

バージョン 7.110（2026年8月20日前後リリース）で修正済みです。7.109以下を利用中のサイトは、早めの更新を推奨します。

All-in-One WP Migrationとは

All-in-One WP Migration and Backup（開発元: ServMask）は、WordPressサイトのエクスポート・インポート・バックアップを専用の .wpress 形式で扱えるプラグインです。データベース、メディア、テーマ、プラグインをまとめて移行できるため、制作現場やサイトリニューアルで長く使われてきました。

移行や復元の際には、旧URLから新URLへの置き換えなど、データベース内の文字列置換が自動で行われます。今回の問題は、この復元まわりの処理に関係しています。

なぜ注目されたのか

同プラグインは2026年にも、ログ書き込みの問題（7.106で修正）やマルチサイト向けの権限強化（7.108で修正）など、セキュリティ関連の更新が続いています。今回の 7.110 は公式 changelog に「Find and replace on values ending in a backslash」と記載され、公開情報では二次SQLiからRCEへの連鎖として扱われています。移行・バックアップ用途の定番プラグインであるため、導入有無の確認が重要です。

脆弱性の詳細（CVE-2026-19949）

• CVE：CVE-2026-19949
• 分類：Second-Order SQL Injection（二次SQLインジェクション）／CWE-89。連鎖により Remote Code Execution（リモートコード実行）まで到達し得る
• 影響範囲：All-in-One WP Migration and Backup <= 7.109
• CVSS：8.8（High）
• 修正状況：7.110 で修正済み（公式 changelog 記載。報告者: Jack Taylor）

何が問題か

アーカイブ復元時、プラグインはデータベース内の文字列を新しい環境向けに置き換えます。この処理で、末尾がバックスラッシュ（\）の値を正しく扱えない場合があり、SQLの文字列境界が崩れる恐れがありました。

平たく言えば、復元時の自動置換のすき間を突かれると、本来のクエリに別のSQLが紛れ込み得る、ということです。公開情報では、この二次SQLiを経てプラグイン内部の秘密鍵が露出し、悪用されるとサーバー上でのコード実行につながる可能性がある、と説明されています。悪用手順の詳細は本記事では扱いません。

重要な補足：影響を受ける条件

影響があるのは 7.109以下です。7.110以降は修正済みです。「Unauthenticated（認証不要）」は公開上の分類ですが、攻撃の本格的な発火にはアーカイブ復元（インポート）が関与します。閲覧だけでは直ちに同じ経路が動くとは限りません。ただし High 評価であり、「復元しないから更新しなくてよい」とは考えず、バージョン更新を優先してください。出典不明の .wpress を本番へ復元しないことも重要です。

影響とリスク

• 不正なSQLの実行：復元処理の過程で意図しないクエリが走り、設定やユーザー関連データの参照・改変につながる恐れ
• 秘密鍵の取得からコード実行へ：公開情報では、SQLi経由で内部秘密鍵を取得し、リモートコード実行に至るシナリオが示されています。到達すると、バックドア設置や管理者アカウント作成など、サイト乗っ取りに相当する被害になり得ます
• 複数サイトへの波及：制作会社が同じバージョンを複数クライアントで使い回していると、影響が広がりやすい
• ビジネス影響：改ざん、情報流出、復旧コスト、信頼低下など、被害は技術面にとどまらない

対処方法

CVE-2026-19949 への対応として、次を推奨します。

• All-in-One WP Migration を 7.110 以上へ更新する（最優先）
• 移行・バックアップに使っていないサイトでは、更新に加え無効化または削除も検討する
• 更新後、バージョン表示を確認し、セキュリティスキャンを行う
• 見覚えのない管理者ユーザーや不審な PHP ファイルがないか確認する
• 出典不明の .wpress を本番へ復元しない。必要ならステージング環境で実施する
• サーバー側バックアップなど、移行プラグイン以外の手段も併用する

7.110 の公式更新履歴には、末尾がバックスラッシュの値に対する find / replace（文字列置換）の修正が記載されています。本件の修正版として扱って問題ありません。

まとめ

CVE-2026-19949 は、All-in-One WP Migration and Backup のアーカイブ復元時の文字列置換に起因する二次SQLインジェクションです。深刻度は CVSS 8.8（High）、影響は 7.109以下、修正は 7.110 です。公開情報では、秘密鍵取得を経てリモートコード実行につながる可能性が示されています。

未更新のサイトは 7.110 以降へアップデートし、導入有無が不明な場合はバージョン確認から始めてください。

WordPressのセキュリティは「一度設定すれば終わり」ではありません。継続的な監視と更新、そして適切な保守管理によって初めて安全なサイト運営が実現できます。

参考

• WPScan - All-in-One WP Migration < 7.110 - Unauthenticated Second-Order SQLi via Archive Restore to RCE（CVE-2026-19949）
• WPScan - all-in-one-wp-migration 脆弱性一覧
• WordPress.org - All-in-One WP Migration（changelog 7.110）
• Wordfence Threat Intelligence（関連エントリ）

---