All-in-One WP Migrationに重大な脆弱性｜7.110への更新を推奨

WordPressの移行・バックアップ用プラグインとして広く利用されている「All-in-One WP Migration and Backup」に、重大な脆弱性が確認されています。

今回確認されたのは、未認証の第三者がSQLインジェクションを行い、条件によってはリモートコード実行やサイトの乗っ取りにつながる可能性がある脆弱性です。影響を受けるのはバージョン7.109以前で、修正版となる7.110へのアップデートが推奨されています。

All-in-One WP Migration 7.109以前が脆弱性の対象

今回の脆弱性は「CVE-2026-19949」として報告されています。

攻撃者はログインしていない状態でも細工したデータを送り込むことができ、その後、サイト管理者がバックアップアーカイブの復元を実行した際に不正なSQLが実行される可能性があります。これにより、

• WordPressデータベース内の情報取得
• All-in-One WP Migrationの秘密鍵の取得
• 条件によっては任意コードの実行
• WordPressサイトの乗っ取り

などにつながる可能性があります。インド政府のCERT-Inも2026年9月9日、この問題についてSeverity「HIGH」として注意喚起を公開しています。

All-in-One WP Migration 7.110で修正

開発元は修正版となるAll-in-One WP Migration 7.110を公開しています。

WordPress.orgの公式プラグインページでも、7.110の変更履歴に今回の問題を報告した研究者への謝辞と修正内容が掲載されています。現在の公開バージョンも7.110となっています。All-in-One WP Migrationを利用しているWebサイトでは、

「プラグイン」→「インストール済みプラグイン」

から現在のバージョンを確認し、7.109以前の場合は7.110以降へ速やかにアップデートすることをおすすめします。

500万以上のWordPressサイトで利用されているプラグイン

All-in-One WP Migrationは、WordPressサイトのサーバー移転やバックアップ、開発環境から本番環境への移行などで広く利用されているプラグインです。WordPress.orgでは500万以上の有効インストール数が確認されており、影響範囲の大きい脆弱性といえます。

制作会社やWebサイト管理者は、自社サイトだけでなく、過去に制作した顧客サイトについても利用状況を確認しておくとよいでしょう。

WordPressプラグインの脆弱性対策として早めの更新を

WordPress本体を最新版にしていても、プラグインに脆弱性が残っているとサイトへの侵入経路になる可能性があります。今回のAll-in-One WP Migrationについては、修正版がすでに公開されているため、まずアップデートを行うことが重要です。

あわせて、

• WordPress本体・テーマ・プラグインを最新版に保つ
• 不要なプラグインを削除する
• 定期的にバックアップを取得する
• 管理者アカウントに多要素認証を設定する
• セキュリティ監視を実施する

といった基本的な対策も見直しておくことをおすすめします。

公式情報
All-in-One WP Migration and Backup｜WordPress.org
CERT-In「SQL Injection Vulnerability in All-in-One WP Migration and Backup Plugin」