WORDPRESS SECURITY

All-in-One WP MigrationにSQL InjectionからRCEへ至る脆弱性（CVE-2026-19949）

High

更新日：2026年9月1日

対象製品: All-in-One WP Migration and Backup（プラグイン）
CVE: CVE-2026-19949
CVSS / 深刻度: 8.8 / High
影響バージョン: 7.109以下
修正版: 7.110
脆弱性種別: Second-Order SQL Injection → 条件付きRCE

脆弱性の概要

All-in-One WP Migration and Backup 7.109以下には、アーカイブ復元処理におけるSecond-Order SQL Injectionから機密情報取得、最終的にRCEへ発展し得る脆弱性があります。500万以上のサイトで利用されているため、攻撃条件があるものの重要度は高いです。

技術的な内容

外部入力を起点とするSQL Injectionによりデータベース情報を抽出でき、ai1wm_secret_keyを取得した後にRCEへ連鎖できるとされています。ただしRCEまでの成立には、サイト管理者が細工されたアーカイブを復元する処理が関与する条件があります。CISAの公開評価時点では実悪用は確認されていません。

悪用状況

実攻撃は未確認

推奨対応

7.110以上へ更新してください。信頼できない第三者から受領したバックアップアーカイブを復元しないでください。影響バージョンで外部由来アーカイブを復元した履歴がある場合は、管理者セッション、秘密情報、PHPファイルやサイト改ざんを確認してください。

情報源

情報確認日時：2026年8月26日 00:00

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。