WORDPRESS SECURITY

All-in-One WP MigrationのRCE脆弱性で実悪用確認（CVE-2026-19949）

High 実攻撃を確認

WordPressプラグイン「All-in-One WP Migration and Backup」の脆弱性情報（CVE-2026-19949）。影響バージョンは7.109以下。修正版 7.110 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月24日

対象製品: All-in-One WP Migration and Backup（プラグイン）
CVE: CVE-2026-19949
CVSS / 深刻度: 8.8 / High
影響バージョン: 7.109以下
修正版: 7.110
脆弱性種別: 未認証Second-Order SQL Injection / 秘密鍵取得 / 条件付きRemote Code Execution

脆弱性の概要

All-in-One WP Migration and Backup 7.109以下のCVE-2026-19949について、Patchstackが現在「Known to be exploited! (KEV)」として扱っていることを確認しました。未認証でSQL Injectionを仕込み、管理者の復元処理を契機にプラグインの秘密鍵を取得してRemote Code Executionへ連鎖できるため、以前お知らせした時点から危険度が大きく高まっています。

技術的な内容

攻撃者はWordPressのtrackback等を通じて悪意あるデータを保存し、後に管理者がアーカイブ復元を行った際にSecond-Order SQL Injectionを成立させます。これによりai1wm_secret_keyを取得し、悪意ある.wpressアーカイブの取り込みなどを通じて任意コード実行へ到達可能です。CVE/CNAのCVSSは8.8 Highです。Patchstackは現在Known to be exploitedとして表示していますが、確認時点でCISA KEVへの掲載は確認できないため、悪用確認の根拠はPatchstackの現行脅威情報です。

悪用状況

実攻撃を確認

推奨対応

All-in-One WP Migration and Backupを少なくとも7.110以上、実運用では現行7.111以上へ直ちに更新してください。7.109以下を公開していた場合は、trackback、archive restore、import/exportの不審な履歴、未知のプラグイン・MUプラグイン、PHPファイル、Administrator追加を確認してください。侵害が疑われる場合は管理者資格情報、WordPress認証キー・salt、移行関連シークレットをローテーションし、正常なバックアップとの整合性も確認してください。

情報源

情報確認日時：2026年9月19日 12:58

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。