All-in-One WP Migrationに認証済みユーザーからAdministratorへ権限昇格できる脆弱性

WordPressプラグイン「All-in-One WP Migration and Backup」の脆弱性情報。影響バージョンは7.111未満。修正版 7.111 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

All-in-One WP Migration and Backup（プラグイン）

CVSS / 深刻度

7.2 / High

影響バージョン

7.111未満

修正版

7.111

脆弱性種別

認証済み権限昇格 / Missing Authorization / Administrator権限取得

脆弱性の概要

All-in-One WP Migration and Backup 7.111未満には、Administratorではない認証済みユーザーが本来許可されない移行処理を実行し、Administrator権限取得につながる権限昇格脆弱性があります。500万以上の有効インストールがある主要プラグインで、WPScanはImport Secret Key Disclosureを経由するPrivilege Escalation to AdminとしてCVSS 7.2 Highで公開しています。

技術的な内容

WordPress.org公式の7.111変更履歴では、export/importをAdministrator capability必須へ変更し、非Administratorの認証済みユーザーがmigrationを実行できたMissing Authorizationを修正したことが明記されています。あわせてバックアップの一覧・削除・ラベル・閲覧・ダウンロードもexport/import権限を持つユーザーのみに制限されました。WPScanは7.111未満をAuthenticated Privilege Escalation to Admin via Import Secret Key Disclosureとして公開しています。現時点でCISA KEVや信頼できる実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

All-in-One WP Migration and Backupを7.111以上へ直ちに更新してください。過去に移行・export/import権限を付与していた非管理者ユーザーを確認し、最近のmigration、import/export、backup操作、不審なAdministrator追加やロール変更、プラグイン・テーマ・ファイル変更を監査してください。侵害が疑われる場合は移行関連シークレット、管理者資格情報、WordPress認証キー・saltをローテーションしてください。

情報源

• WordPress.org（開発元公式・7.111セキュリティ修正）
• WPScan（脆弱性情報・CVSS・修正版）

情報確認日時：2026年9月17日 07:50

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。