WordPress移行プラグインにSQLインジェクション（CVE-2026-19949） — 500万超サイトに影響、復元操作時の秘密鍵窃取からRCEのおそれ、7.110で修正済み

米国立標準技術研究所（NIST）の脆弱性データベースNVDは2026年8月25日、WordPressプラグイン「All-in-One WP Migration and Backup」の7.109以前のバージョンにSQLインジェクションの脆弱性があると公開した。脆弱性番号はCVE-2026-19949で、CVSS 3.1の基本値は8.8（重要度「高」）である。報告者はWordPressセキュリティ企業のWordfenceで、ベンダーはServMaskである。

脆弱性の仕組み — 復元処理のエスケープ不備から秘密鍵窃取へ

NVDの説明によると、この脆弱性はプラグインのバックアップ復元（archive restore）機能に存在する。利用者から渡された値のエスケープ処理と、既存のSQLクエリの準備（プリペアド化）が不十分なため、未認証の攻撃者が既存のクエリにSQL文を追加できる。その結果、データベース内の機密情報を引き出せる状態になる。

攻撃の帰結としてNVDが明示しているのは、復元用の秘密鍵「ai1wm_secret_key」の窃取である。サイト管理者がバックアップの復元操作を行うと、攻撃者はこの秘密鍵の値を入手できる。秘密鍵を握った攻撃者は、その鍵を使って悪意あるプラグインを導入し、リモートコード実行（RCE：サーバ上で任意のコードを実行される状態）に持ち込めるとNVDは説明している。攻撃の成立には管理者による復元操作が必要という条件が付くが、成立すればサイト全体の制御を奪われるおそれがある。

影響範囲 — 7.109以前、導入数500万超

NVDの影響範囲は、7.109を含むそれ以前の全バージョンである。WordPress公式ディレクトリ（WordPress.org）の同プラグインのページでは、現在のバージョンは7.110、有効インストール数は「500万超」と表示されている。変更履歴（Changelog）の7.110の項目には「末尾がバックスラッシュで終わる値の検索・置換を修正。責任ある開示に協力したJack Taylor氏に謝意を示す」と記されており、この修正がCVE-2026-19949への対応に当たる。

なおNVDに登録されたSSVC評価（2026年8月27日時点）では、この脆弱性の悪用（exploitation）は「none（証拠なし）」とされている。公知の悪用が確認されていない段階での修正版公開であり、利用者は悪用発生前の更新で対応できる状況にある。

利用者が取るべき対応 — 7.110への更新を確認する

対策は、プラグインを修正版7.110へ更新することである。WordPress.orgで7.110が公開済みであり、バックアップの移行・復元に同プラグインを使っているサイトでは、現在のバージョンが7.110以降であることを確認する必要がある。

出典

• NVD, “CVE-2026-19949” (published 2026-08-25) — https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-19949
• WordPress.org, “All-in-One WP Migration and Backup” (Version 7.110, 5+ million active installations) — https://wordpress.org/plugins/all-in-one-wp-migration/