BackWPup 5.7.7未満で復元中断時のバックアップが未認証取得される脆弱性（CVE-2026-86826）

WordPressプラグイン「BackWPup – WordPress Backup & Restore Plugin」の脆弱性情報（CVE-2026-86826）。影響バージョンは5.7.7未満（.htaccessによるアクセス制限が効かないNGINX等で復元処理中断後にバックアップが残った場合）。修正版 5.7.7 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

BackWPup – WordPress Backup & Restore Plugin（プラグイン）

CVE

CVE-2026-86826

CVSS / 深刻度

5.9 / Medium

影響バージョン

5.7.7未満（.htaccessによるアクセス制限が効かないNGINX等で復元処理中断後にバックアップが残った場合）

修正版

5.7.7

脆弱性種別

未認証の機密情報漏えい／バックアップアーカイブのダウンロード

脆弱性の概要

NGINX等、.htaccessによるアクセス制限が機能しないWebサーバーでBackWPupの復元が中断されると、作業ディレクトリに残ったバックアップアーカイブを未認証で取得される可能性がある。データベースダンプ、サイトファイル、認証情報、秘密鍵などが流出すると、サイト侵害につながり得る。発生には条件があり、全サイトが直ちに侵害可能になるわけではない。

技術的な内容

CVE-2026-86826、CISA-ADPのCVSS 3.1は5.9（Medium）。対象は5.7.7未満で、復元中断後のバックアップが残り、NGINX等で.htaccessのアクセス制限が効かない場合です。5.7.7で作業ディレクトリ名の予測困難化と放置復元ファイルの自動削除を実装しています。正式記録のCISA-ADPは10月8日時点で実悪用をnoneと評価していますが、現在の実悪用がないことや個別サイトの無被害を証明するものではありません。

悪用状況

実攻撃は未確認

推奨対応

自社で確認すること：プラグイン一覧でBackWPupの有無と版、最近の復元が中断したかとその日時を控えます。5.7.7未満なら、保守会社へ安全な復元点を確保したうえで5.7.7以上へ更新するよう依頼してください。
担当会社に依頼すること：.htaccessが効かないサーバーでの作業領域の外部アクセス制限、残存バックアップ、アクセスログを確認してもらいます。漏えいが疑われる場合の認証情報変更・改ざん調査も担当会社と判断します。自分で作業ファイルを削除せず、バックアップや認証情報は初回問い合わせに添付しないでください。

情報源

• WordPress.org（開発元の5.7.7修正履歴）
• CVE.org（CVE正式記録）
• WPScan（発見・検証情報／技術的詳細）
• NVD／CISA ADP（CVSSと評価）
• Patchstack（第三者評価と修正版）

情報確認日時：2026年10月13日 18:58

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。