WPvivid Backup & Migrationの未認証任意ファイルアップロード脆弱性に対する実攻撃を観測（CVE-2026-1357）

WordPressプラグイン「WPvivid — Backup, Migration & Staging」の脆弱性情報（CVE-2026-1357）。影響バージョンは0.9.123以下。修正版 0.9.124 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WPvivid — Backup, Migration & Staging（プラグイン）

CVE

CVE-2026-1357

CVSS / 深刻度

9.8 / Critical

影響バージョン

0.9.123以下

修正版

0.9.124

脆弱性種別

未認証の任意ファイルアップロード / Path Traversal / Remote Code Execution

脆弱性の概要

WPvivid Backup & Migration 0.9.123以下のCritical脆弱性CVE-2026-1357について、Wordfenceが直近24時間で671件の攻撃を遮断しており、実攻撃が観測されています。脆弱なバックアップ受信機能が有効な環境では、未認証攻撃者がPHPファイルを公開ディレクトリへ書き込み、リモートコード実行とサイト完全侵害に到達できます。

技術的な内容

RSAセッションキーの復号に失敗しても処理を中断せず、false値がAES初期化へ渡されるため予測可能なNULLバイト鍵を利用できます。さらに復号後のファイル名に十分なパス検証がなく、ディレクトリトラバーサルで保護されたバックアップ領域を脱出し、wpvivid_action=send_to_site経由で任意PHPファイルを書き込めます。Wordfenceによると、重大な攻撃経路は他サイトからバックアップを受信するためのキーを生成した場合に成立し、この機能は初期状態では無効、キーの有効期限は最大24時間です。2026年9月12日の確認時点で、Wordfenceは直近24時間に671件の攻撃遮断を報告しています。

悪用状況

実攻撃を確認

推奨対応

0.9.124以上へ直ちに更新してください。可能であれば現行0.9.135へ更新してください。更新まで他サイトからのバックアップ受信機能を無効化し、wp-content/uploads等の不審なPHP/PHTML/PHAR、wpvivid_action=send_to_siteへのアクセス、未知の管理者・変更ファイルを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

• WordPress.org（開発元公式・0.9.124修正／現行版0.9.135確認）
• CVE.org（CVE情報）
• Wordfence（技術解析・直近24時間の攻撃観測）
• Wordfence Research（悪用条件の技術解析）

情報確認日時：2026年9月12日 00:30

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。